Conservar evidencia digital implica mantener su información disponible y documentar cómo se ha manejado. Una copia o captura puede ser útil, pero conviene identificar su origen y conservar también la fuente cuando esté disponible.
1. Identifique el material y su origen
Anote qué conserva: teléfono, computadora, correo, exportación de chat, PDF, audio o video. Indique de dónde provino, quién lo obtuvo y qué actuaciones ya se realizaron. Si existen varias versiones, mantenga claro cuál recibió y cuál se creó después.
Comunique también la pregunta del caso y el periodo relevante. Esto permite definir qué datos interesa examinar y evita confundir todo el contenido de un dispositivo con la información que debe incorporarse al informe.
2. Consulte antes de intervenir el dispositivo
Evite borrar datos, reinstalar aplicaciones, restablecer el equipo o instalar herramientas de recuperación por su cuenta. Informe al perito sobre el estado actual del equipo y cualquier cambio que ya se haya hecho.
No existe una instrucción única de apagar, reiniciar o desconectar válida para todos los teléfonos. El cifrado, el estado del dispositivo y el acceso disponible pueden cambiar las opciones de adquisición. La medida concreta debe coordinarse antes de intervenir.
3. Conserve originales y copias identificables
Una captura muestra lo que aparecía en pantalla; una exportación contiene los datos que esa función pudo extraer. Ninguna equivale automáticamente a una adquisición forense completa. Informe si solo conserva copias para que sus límites queden documentados.
En correos electrónicos, interesa el mensaje original con sus encabezados y adjuntos. En fotografías y videos, una conversión o el envío por mensajería puede generar una versión distinta. Mantenga disponible el archivo de origen cuando lo tenga.
4. Coordine la entrega y la cadena de custodia
La cadena de custodia registra la recepción, manejo, resguardo y transferencias del material. Al entregar un equipo o archivos, deben identificarse el material recibido, las personas que intervienen, la fecha, las condiciones relevantes y el propósito del encargo.
La autorización y el alcance de acceso se revisan antes del examen. Coordine el medio de entrega con Rafael; no publique evidencias ni contraseñas en formularios abiertos.
¿Qué demuestra un hash SHA-256?
Un hash permite comparar datos concretos con una referencia y comprobar si coinciden. Para interpretarlo hay que identificar el archivo o adquisición y cuándo se calculó. Por sí solo no prueba quién creó un archivo, si lo que dice es verdad o si hubo modificaciones anteriores.
¿Qué pasa si la evidencia ya fue modificada?
Explique qué ocurrió y conserve las versiones disponibles. El perito evalúa qué puede analizar, qué comparaciones son posibles y qué limitaciones deberá reflejar. No se garantiza recuperar datos eliminados ni reconstruir información que ya no está disponible.
Coordinar la preservación