La prueba está dentro

Una captura de pantalla. Una fotografía realizada con el móvil. Un correo electrónico reenviado. Una conversación exportada. Un vídeo descargado.

Cuando ocurre un incidente digital, suele ser normal aferrarse a aquello que tenemos más a mano.

Intentamos conservar pruebas. Documentamos lo que vemos. Guardamos aquello que creemos importante.

Y, en muchos casos, hacemos bien.

El problema aparece cuando empezamos a pensar que eso es todo lo que existe.

¿Qué información no aparece en una captura?

Una imagen puede mostrar un mensaje. Un vídeo puede mostrar una acción. Una captura puede reflejar una pantalla concreta.

Pero los hechos digitales suelen dejar más rastro del que percibimos a simple vista: fechas, metadatos, registros, versiones, configuraciones, históricos y relaciones entre eventos.

Información técnica que no aparece en una captura y que, sin embargo, puede resultar esencial para comprender lo sucedido.

Por esa razón, una representación de los hechos y los hechos mismos no son exactamente lo mismo.

Errores frecuentes al intentar solucionar un incidente digital

Muchas personas creen que la información relevante se pierde únicamente cuando se produce un ataque, una manipulación o un fallo técnico.

Sin embargo, en numerosas ocasiones la pérdida más importante llega después. Cuando alguien intenta solucionar el problema durante las primeras actuaciones tras detectar el incidente:

• Cuando se reinstala un programa.
• Cuando se restablece un dispositivo.
• Cuando se eliminan archivos.
• Cuando se modifica una configuración.
• Cuando se continúa utilizando un sistema que podría contener información relevante.

Cada actuación puede alterar parte del contexto original. Y una vez alterado, no siempre resulta posible reconstruirlo.

¿Por qué conservar el dispositivo original?

Las capturas aportan información. Las fotografías aportan información. Los mensajes aportan información.

Pero el origen suele conservar algo más valioso: el contexto.

Puede ayudar a responder preguntas que todavía no sabemos formular. Puede contener información que aún no hemos visto. Puede revelar relaciones que todavía desconocemos.

Y precisamente por eso su valor suele ser superior al de cualquier representación parcial de los hechos. Es lo que permite un análisis forense de equipos y dispositivos con garantías.

Cómo preservar evidencia digital sin destruirla

Este principio no significa que toda la información relevante se encuentre necesariamente dentro de un ordenador o de un teléfono móvil.

Los entornos digitales actuales son complejos. Parte de la información puede encontrarse en:

• servicios en la nube
• plataformas corporativas
• registros remotos
• sistemas de terceros

Sin embargo, cuando el entorno original sigue disponible, suele conservar una capacidad única para aportar contexto e información adicional sobre lo ocurrido. Por eso merece protección.

Cuando la información deba utilizarse ante un juzgado, conviene que el informe pericial judicial parta de ese origen y no solo de copias.