Cadena de custodia digital: qué es y por qué puede salvar (o hundir) una prueba
La cadena de custodia es el registro que demuestra que una evidencia no ha sido alterada desde que se obtuvo hasta que llega al juzgado. En el mundo digital, donde un archivo puede modificarse sin dejar rastro visible, es especialmente importante.
El papel de la función hash
Una función hash (por ejemplo, SHA-256) genera una “huella” única de un archivo o de un disco. Si cambia un solo bit, la huella cambia por completo. Calcular el hash en el momento de la adquisición y volver a calcularlo más adelante permite demostrar que la copia es idéntica al original.
Qué hay que documentar
- Quién obtuvo la evidencia, cuándo, dónde y con qué herramientas.
- El hash del original y de las copias de trabajo.
- Cada traspaso de la evidencia entre personas o lugares.
- Cómo se ha almacenado y protegido.
Errores habituales
- Encender y “mirar” un ordenador o un móvil antes de clonarlo.
- Hacer copias con herramientas no forenses que modifican fechas o metadatos.
- No dejar constancia de quién ha tenido acceso al dispositivo.
Las normas UNE 71506 (análisis forense de evidencias electrónicas) e ISO/IEC 27037 describen buenas prácticas que ayudan a defender la validez de la prueba.