Notas contemporáneas

"Si no se anotó, no ocurrió" es una exageración, pero se aproxima a la forma en que los revisores y los tribunales tratan el trabajo forense. Las notas contemporáneas son las que redacta la persona que realiza una acción en el momento de llevarla a cabo, o tan pronto como sea posible después. Constituyen el registro propio del examinador sobre qué se hizo, con qué y por qué. Esta lección aborda qué registrar, cómo mantener notas en papel o en formato electrónico sin comprometer su integridad y por qué son importantes en la revisión por pares y ante los tribunales. La forma en que las notas contribuyen al informe final se aborda en el Módulo 7.

Qué significa contemporáneo

Contemporáneo significa realizado en el mismo momento. Una nota escrita mientras se crea la imagen de una unidad, o inmediatamente después, registra lo que vio el examinador; una nota escrita de memoria una semana más tarde registra lo que recuerda, lo cual es menos fiable y más fácil de cuestionar. Cuando no es posible redactar una entrada en el momento, por ejemplo durante un registro de instalaciones que se desarrolla con rapidez, se escribe lo antes posible y se indica cuándo se redactó. Las notas no son el informe. Son el registro original a partir del cual se redacta el informe y con el que se puede contrastar.

Qué registrar

• Fecha y hora con zona horaria para cada entrada, por ejemplo 14:32 UTC+02:00. Cuando sea relevante, registre también la hora que muestra el dispositivo examinado en comparación con un reloj de referencia fiable (Módulo 6).
• Acciones: qué se hizo y sobre qué elemento, identificado por su número de evidencia.
• Herramientas y versiones: el hardware y el software utilizados, con sus números de versión, incluidos el bloqueador de escritura y la estación de trabajo.
• Configuración: las opciones seleccionadas, como el formato de imagen, el tamaño de los segmentos, los algoritmos hash y los términos de búsqueda.
• Observaciones: lo que se vio, como un programa en ejecución, un mensaje en pantalla, daños, etiquetas y números de serie.
• Resultados: los valores hash completos, los mensajes de error y los recuentos de elementos encontrados.
• Problemas y decisiones con sus motivos: todo lo que no salió según lo previsto, qué se decidió y por qué, incluidas las opciones consideradas y descartadas.

Registre también lo que no hizo, cuando sea relevante. "No se capturó la memoria: la computadora portátil estaba apagada a la llegada" responde a una pregunta antes de que alguien la formule.

En papel o en formato electrónico

Cuadernos encuadernados

La opción tradicional es un cuaderno encuadernado con páginas numeradas, escrito con tinta permanente. Nunca se arrancan páginas ni se borran entradas o se escribe encima de ellas. Un error se corrige trazando una sola línea sobre el texto incorrecto, de modo que siga siendo legible, seguida de la corrección, la fecha y las iniciales de quien escribe. El espacio en blanco al final de una entrada o página se tacha para que no se pueda añadir nada después, y cada página lleva fecha e iniciales.

Notas electrónicas

Las notas escritas en formato electrónico son más fáciles de leer y de consultar mediante búsquedas, y pueden contener valores hash y rutas de archivos copiados exactamente de la salida de las herramientas. Necesitan protecciones equivalentes: marcas de tiempo automáticas; un historial que conserve todos los cambios en lugar de sustituir el texto, como un repositorio con control de versiones o un sistema de gestión de casos que conserve las versiones anteriores; y una forma de demostrar que las notas no se modificaron posteriormente, por ejemplo registrando un hash del archivo de cada día o guardándolo en un medio de escritura única. Un archivo de un procesador de textos que cualquiera pueda editar sin dejar rastro es un registro poco sólido. Los registros que generan las herramientas se conservan junto con las notas, que hacen referencia a ellos en lugar de sustituirlos.

Cómo redactarlas

Las notas deben ser comprensibles para alguien que no estuvo presente, ya sea un revisor, un abogado o el propio examinador años después. Escriba hechos y observaciones, e identifique claramente como tales cualquier opinión o inferencia. Utilice abreviaturas solo si son habituales en su organización o si se explican en las notas. Cada persona que realiza una acción redacta sus propias notas; si un colega registra las acciones de otra persona, por ejemplo mientras esta manipula un dispositivo, la nota indica quién hizo qué y quién la escribió. Las notas forman parte del expediente del caso y puede ser necesario revelarlas a las partes, por lo que no escriba nada en ellas que no esté dispuesto a explicar ante un tribunal.

Fotografías y grabaciones de pantalla

Las imágenes suelen registrar una escena o una pantalla mejor que las palabras. Las fotografías de un dispositivo tal como se encontró, de sus etiquetas, puertos, embalaje y precintos, y de lo que mostraba su pantalla forman parte de las notas. Durante el trabajo en vivo sobre un sistema en ejecución, una grabación de pantalla, o una cámara que filme la pantalla, muestra exactamente lo que se escribió y lo que apareció. Conserve los archivos originales de imagen y video, registre sus valores hash y haga referencia a cada uno por su número en las notas escritas para que ambos puedan consultarse conjuntamente. Una fotografía no se explica por sí sola: la nota indica qué muestra y por qué se tomó.

Por qué importan las notas

Las notas son lo que permite llevar a la práctica los aspectos del manejo de evidencias del Módulo 1.

• La repetibilidad y la reproducibilidad dependen de conocer exactamente qué herramienta, versión, configuración y datos de entrada produjeron un resultado. Sin esa información, nadie, ni siquiera el examinador original, puede volver a ejecutar los mismos pasos.
• La justificabilidad depende de que los motivos queden registrados. Una decisión que parezca extraña un año después, como crear una imagen de solo una parte de un servidor, es defendible si las notas muestran la limitación que obligó a tomarla.
• La revisión por pares, en la que un segundo examinador comprueba el trabajo antes de que se emita el informe, se basa en las notas y los registros de las herramientas, no en conversaciones.
• El testimonio puede tener lugar meses o años después del examen. Los examinadores se apoyan en sus notas para responder con precisión, y estas pueden revelarse a la otra parte, que las leerá detenidamente.

Considere el caso de Tomás Vidal, un examinador ficticio al que se le pregunta ante un tribunal por qué no examinó una partición de una unidad. Sus notas dicen: "Partición 3 cifrada, no se proporcionó la clave. Clave solicitada al responsable del caso a las 10:15 UTC; el responsable respondió a las 11:40 que no hay ninguna disponible". Su respuesta es inmediata y creíble. Sin la nota, solo podría decir que no lo recuerda.

Notas buenas y deficientes

Enfoque del examen: Sepa qué significa contemporáneo (realizado en el momento, por la persona que actuó) y qué contiene una entrada: fecha y hora con zona horaria, identificador del elemento, acción, herramienta y versión, configuración, observaciones, resultados como valores hash completos, y problemas y decisiones con sus motivos. Sepa cómo se protege la integridad: cuadernos encuadernados, tinta permanente, tachado con una sola línea acompañado de fecha e iniciales, sin borrados, y notas electrónicas con marcas de tiempo, control de versiones o escritura única. Espere preguntas que relacionen las notas con la repetibilidad, la reproducibilidad, la justificabilidad, la revisión por pares y el testimonio.