Registros de cadena de custodia

La evidencia solo es tan confiable como su historial. La cadena de custodia es el registro documentado e ininterrumpido de quién tuvo un elemento, cuándo, dónde, por qué y en qué estado, desde el momento en que se recogió hasta su devolución o destrucción. Esta lección explica qué contiene un registro de custodia, cómo se aplica tanto a las copias digitales como a los dispositivos físicos, cómo contribuyen los precintos y los sistemas electrónicos a mantenerlo y qué hacer cuando surge un problema. La incautación y el embalaje se tratan en el Módulo 3, y los valores hash que demuestran que una copia no ha cambiado, en el Módulo 4.

Por qué la cadena debe ser ininterrumpida

Un tribunal, un perito de la contraparte o un auditor hará dos preguntas sobre cualquier elemento probatorio: ¿es este el mismo elemento que se recogió y podría alguien haberlo modificado desde entonces? La cadena de custodia responde a ambas. Cada persona que tuvo el control del elemento es un eslabón, y cada transferencia entre ellas queda registrada. Una laguna, como un día en el que nadie puede decir dónde estuvo un teléfono, no demuestra que se haya alterado nada, pero elimina la prueba de que nada se alteró. Según el sistema jurídico y las circunstancias, una laguna puede reducir el valor probatorio de la evidencia, obligar a los testigos a dar explicaciones extensas o provocar la exclusión de la evidencia.

La cadena de custodia es lo que hace posible la auditabilidad descrita en el Módulo 1: una persona independiente debería poder rastrear cada movimiento de cada elemento únicamente a partir de los registros, sin depender de la memoria de nadie.

Qué contiene un registro de custodia

Los formularios varían entre organizaciones, pero un registro completo contiene dos tipos de información: una descripción del elemento, que se escribe una sola vez, y una entrada por cada transferencia.

• Identificador único: un número de elemento probatorio o de elemento que figura en el propio elemento, su embalaje, las notas, las imágenes obtenidas de él y el informe.
• Descripción: tipo de elemento, marca, modelo y número de serie, además de características distintivas como daños, pegatinas o una etiqueta de inventario.
• Detalles de la recogida: dónde y cuándo se recogió, quién lo hizo y al amparo de qué autorización o referencia de caso.
• Cada transferencia: quién lo entregó, quién lo recibió, la fecha y la hora con la zona horaria, y el propósito, como transporte, almacenamiento, examen o presentación ante un tribunal.
• Estado del elemento y del precinto en cada transferencia: el número de precinto, si estaba intacto y cualquier cambio en el estado del elemento.
• Firmas tanto de la persona que entrega el elemento como de la que lo recibe.

El almacenamiento también cuenta como custodia. Mientras un elemento permanece en un depósito de evidencias, el custodio responsable del depósito es quien lo tiene a su cargo, y cada retirada y devolución constituye una transferencia.

Precintos y números de precinto

Un precinto con evidencia de manipulación es una etiqueta, cinta o cierre de bolsa que no puede retirarse sin dejar daños visibles. La mayoría lleva un número único impreso. El número de precinto se anota en el registro de custodia y en las notas, de modo que cualquiera que reciba el elemento pueda comprobar que el mismo precinto sigue colocado e intacto. Los precintos no impiden la manipulación; la hacen visible.

Cuando un examinador necesita el elemento, abre personalmente el paquete, registra que lo ha hecho y después vuelve a sellarlo con un precinto nuevo cuyo número también se registra. Escribir las iniciales y la fecha de modo que abarquen tanto el precinto como el embalaje añade una comprobación adicional. Un precinto nunca se reutiliza.

Elementos físicos y copias digitales

La custodia no termina en el dispositivo. Una imagen forense también es evidencia y, por lo general, es la evidencia que realmente se examina. Cada imagen, exportación o conjunto de archivos extraídos necesita su propio registro:

• El identificador del elemento de origen y un identificador independiente para la copia.
• Los valores hash calculados durante la adquisición, para que cualquier copia posterior pueda verificarse comparándola con ellos.
• Cada copia realizada: cuándo, por quién, en qué soporte o ubicación de almacenamiento y con qué propósito.
• Quién accedió a cada copia y cuándo se eliminó o destruyó.

Los soportes que contienen copias de evidencia, como las unidades externas utilizadas para transportar imágenes, se rastrean como elementos por derecho propio, con números de serie y entradas de custodia.

Sistemas electrónicos de custodia

Muchos laboratorios y organizaciones registran la custodia en software en lugar de hacerlo en papel: un sistema de gestión de casos, un sistema de gestión de información de laboratorio (LIMS) o un sistema específico de gestión de evidencia digital. Los elementos llevan etiquetas con códigos de barras o RFID que se escanean en cada transferencia. Las ventajas son entradas legibles, campos uniformes y un registro de auditoría: un registro automático, con marca de tiempo, de cada acción, como consultar, retirar, descargar o modificar una entrada, vinculado a una cuenta de usuario individual.

La eficacia de un sistema electrónico depende de sus controles. Cada persona necesita su propia cuenta, el registro de auditoría debe estar protegido contra modificaciones, el reloj del sistema debe ser preciso y las correcciones deben añadirse como entradas nuevas en lugar de sobrescribir las anteriores. Si el elemento también va acompañado de un formulario en papel, ambos registros deben coincidir.

Cuando surge un problema

Los errores ocurren: un precinto llega roto, falta una firma o se anotó una hora con la zona horaria equivocada. La regla es documentar con honestidad, nunca corregir sin dejar constancia.

• Registre qué encontró, cuándo y quién estaba presente; fotografíe un precinto o embalaje dañado antes de hacer cualquier otra cosa.
• Informe del problema a la persona responsable del caso.
• Añada una corrección o explicación fechada. Nunca antedate una entrada, borre una ni pida a alguien que firme por una transferencia que no presenció.
• Cuando ya existe una imagen verificada, un nuevo hash del original puede mostrar si los datos que contiene han cambiado desde la adquisición.

Un problema que se comunica y explica normalmente puede resolverse. Uno que se oculta y sale a la luz durante el contrainterrogatorio daña la credibilidad del examinador mucho más que el error original.

Un ejemplo resuelto: de la incautación al tribunal

Ana Ruiz, investigadora de una empresa ficticia de logística, recoge una computadora portátil del escritorio de un empleado al amparo de una autorización de investigación interna. Registra la marca, el modelo y el número de serie, asigna el número de elemento probatorio LT-01, coloca la computadora portátil en una bolsa de evidencias y la cierra con el precinto S-104. El registro crece con cada entrega:

Cada línea lleva la firma de ambas personas. Junto a este registro, la imagen LT-01-IMG tiene el suyo propio: su valor SHA-256 en el momento de la adquisición, la copia maestra en el servidor de evidencias del laboratorio y una copia de trabajo entregada a M. Lind y eliminada posteriormente con autorización. En la audiencia, Ana puede demostrar que la computadora portátil presentada ante el tribunal es LT-01 y que su historial no tiene lagunas, y M. Lind puede demostrar que la imagen que analizó coincide con el hash de adquisición.

Puntos clave para el examen: Sepa qué contiene un registro de cadena de custodia: identificador único, descripción con número de serie, detalles de la recogida y, para cada transferencia, las personas que entregan y reciben, fecha y hora, propósito, número y estado del precinto, y firmas. Recuerde que las retiradas del depósito son transferencias y que las imágenes forenses y sus copias también necesitan registros de custodia. Espere situaciones sobre precintos rotos, firmas ausentes y lagunas: documente y explique con honestidad, nunca corrija sin dejar constancia ni antedate.