Cadena de custodia y documentación · Lección 3 de 3
Almacenamiento y conservación de evidencias
7 min de lectura
Entre la recolección y el final de un caso, las evidencias pasan la mayor parte del tiempo almacenadas. Un caso puede durar años, y el elemento que sale del almacén debe ser el mismo que entró, seguir siendo legible y continuar bajo control. Para eso no basta un armario con llave: los elementos físicos y las copias digitales necesitan cada uno su propia protección, alguien tiene que decidir cuánto tiempo se conserva todo y el final de un caso trae su propio papeleo. El embalaje para el transporte se aborda en el Módulo 3.
Almacenamiento de elementos físicos
Las evidencias físicas, como computadoras, unidades de almacenamiento, teléfonos y tarjetas de memoria, se guardan en un área segura y exclusiva: una sala, un armario o una caja fuerte bajo llave que se utiliza únicamente para evidencias.
- Control de acceso: solo los custodios designados tienen llaves o tarjetas de acceso; se registra la entrada de cualquier otra persona y se la acompaña.
- Registros: cada entrada o salida de un elemento se anota en su registro de custodia, y el acceso al propio almacén se registra mediante un sistema electrónico de acceso o un registro firmado.
- Temperatura y humedad: condiciones estables, moderadas y secas, porque el calor, la humedad y la condensación dañan los equipos electrónicos y los medios de almacenamiento.
- Electricidad estática: las unidades de almacenamiento, las tarjetas de memoria y las placas de circuitos se guardan en bolsas antiestáticas.
- Campos magnéticos: los imanes potentes pueden dañar los medios magnéticos, como los discos duros y las cintas, por lo que estos se mantienen alejados de altavoces, motores y otros equipos magnéticos.
- Seguridad física: los elementos se colocan en estantes de modo que no puedan caerse ni quedar aplastados, y las baterías de litio dañadas o hinchadas, que suponen un riesgo de incendio, se aíslan conforme a las directrices de seguridad.
Los elementos de distintos casos no se mezclan en un mismo contenedor, y el almacén se organiza de forma que cualquier elemento pueda localizarse rápidamente a partir de su identificador. El almacén también se audita: a intervalos regulares, el custodio o una persona independiente coteja los elementos de los estantes con los registros de custodia, confirma que los precintos estén intactos e informa de cualquier elemento faltante, mal ubicado o no registrado. Las discrepancias se investigan y documentan, no se corrigen sin dejar constancia.
Almacenamiento de evidencias digitales
Las imágenes forenses, las exportaciones y los archivos extraídos requieren el mismo cuidado en formato digital.
- Almacenamiento cifrado, para que la pérdida de una unidad de almacenamiento o una intrusión en un servidor no exponga los datos, que a menudo incluyen información personal de personas ajenas al caso (Módulo 2).
- Control de acceso mediante cuentas individuales, con permisos concedidos por caso y retirados cuando ya no sean necesarios, y con registro de los accesos.
- Una segunda copia en un medio separado o en otra ubicación, verificada mediante hash con respecto al valor obtenido durante la adquisición, de modo que un único fallo no pueda destruir las evidencias.
- Comprobaciones periódicas de integridad: los valores hash se recalculan conforme a un calendario y se comparan con los valores de adquisición, y los resultados se registran.
- Migración cuando sea necesaria: los medios de almacenamiento envejecen y los formatos de archivo caen en desuso, por lo que las evidencias conservadas durante años pueden trasladarse a nuevos medios, con verificación mediante hash antes y después.
Las claves y contraseñas que protegen el almacenamiento de evidencias son fundamentales por sí mismas: si se pierden, las evidencias se pierden con ellas. Se gestionan con las mismas reglas de acceso que las evidencias.
Copias maestras y copias de trabajo
Una práctica habitual es mantener una copia maestra de cada imagen forense que nunca se examina directamente. Se almacena en modo de solo lectura, y su hash coincide con el valor registrado durante la adquisición. Los examinadores trabajan con copias de trabajo creadas a partir de la copia maestra y verificadas mediante hash antes de su uso. Si una copia de trabajo se daña, una herramienta la altera o simplemente deja de considerarse fiable, se crea una nueva a partir de la copia maestra. El dispositivo original, cuando se conserva, permanece precintado en el almacén de evidencias y solo se vuelve a abrir por un motivo registrado, como la necesidad de realizar una nueva adquisición.
Requisitos de almacenamiento según el tipo de evidencia
| Tipo de evidencia | Principales riesgos durante el almacenamiento | Requisitos de almacenamiento |
|---|---|---|
| Discos duros | Golpes, campos magnéticos intensos, humedad | Embalaje antiestático acolchado; almacén seco con condiciones estables; alejados de imanes |
| SSD, unidades flash USB, tarjetas de memoria | Electricidad estática, calor; los datos se conservan sin alimentación solo durante un tiempo limitado | Bolsas antiestáticas; almacén fresco; utilizar imágenes verificadas, no el dispositivo, para la conservación a largo plazo |
| Teléfonos y tabletas | Descarga o hinchazón de la batería; cambios remotos si están conectados | Mantener aislados de las redes; comprobar el estado de la batería; seguir las directrices de seguridad para baterías dañadas |
| Discos ópticos | Arañazos, calor, luz directa | Estuches individuales, almacenados en posición vertical en un lugar fresco y oscuro |
| Imágenes forenses y exportaciones | Corrupción, acceso no autorizado, un único punto de fallo | Almacenamiento cifrado y con control de acceso; segunda copia verificada; comprobaciones periódicas de hash |
| Registros en papel y cuadernos | Pérdida, daños, alteración | Almacenamiento bajo llave junto con el expediente del caso; copias escaneadas como respaldo |
Conservación y obligaciones de preservación legal
El tiempo durante el que se conservan las evidencias no lo decide el examinador. Los plazos de conservación se establecen por ley, por contrato o por la política de la organización, y varían según el tipo de caso y la jurisdicción. Las evidencias de casos penales graves suelen conservarse durante muchos años, porque pueden producirse apelaciones y revisiones, mientras que una investigación corporativa puede regirse por la política de gestión documental de la organización. Cada elemento debe tener registrado su plazo de conservación o su fecha de finalización, y nada se destruye antes de que se cumplan.
Una obligación de preservación legal, también denominada obligación de preservación por litigio, prevalece sobre la conservación habitual: cuando hay procedimientos judiciales en curso o se prevén razonablemente, los elementos y datos pertinentes deben preservarse aunque haya finalizado su plazo normal de conservación. Estas obligaciones son habituales en los litigios civiles y en el descubrimiento electrónico de pruebas, que aborda la norma ISO/IEC 27050. Antes de eliminar cualquier elemento, el custodio confirma que no se aplica ninguna obligación de preservación.
Devolución y eliminación
Al final de un caso, los elementos se devuelven a su propietario, se conservan durante más tiempo o se destruyen. Cada uno de estos resultados requiere:
- Autorización de la persona o entidad facultada para concederla, registrada en el expediente del caso.
- Una lista completa del elemento y de todas sus copias, incluidas las copias de trabajo, las segundas copias y las exportaciones, para que no se olvide ninguna.
- Devolución contra firma, con lo que se cierra el registro de custodia, o destrucción mediante un método adecuado para el medio, como la sobrescritura, el borrado criptográfico o la destrucción física. NIST SP 800-88 describe métodos de sanitización de medios.
- Un registro de destrucción: qué se destruyó, cómo, cuándo, quién lo hizo y en presencia de quién, a menudo emitido en forma de certificado.
Eliminar un archivo de un servidor de evidencias no constituye una eliminación segura: los datos pueden permanecer en los medios y en las copias de seguridad. Las copias que se mantienen fuera del almacén, en la estación de trabajo de un examinador o en la computadora portátil de un revisor, son las que se olvidan con mayor frecuencia. El expediente del caso, incluidas las notas, los registros de custodia y el registro de destrucción, suele conservarse después de que las propias evidencias hayan dejado de existir, para que el trabajo aún pueda revisarse.
Marcos de calidad
El almacenamiento y la manipulación forman parte del sistema de calidad de un laboratorio: ISO/IEC 17025 establece requisitos generales para la competencia de los laboratorios de ensayo y calibración y se utiliza para acreditar muchos laboratorios forenses, mientras que ISO/IEC 27037 incluye la preservación de evidencias digitales entre las actividades que abarca.
Enfoque del examen: Aprenda los requisitos de almacenamiento de elementos físicos (control de acceso, registros, temperatura y humedad estables, protección frente a la electricidad estática y los campos magnéticos) y de evidencias digitales (cifrado, control de acceso, una segunda copia verificada, comprobaciones periódicas de hash), así como la diferencia entre copias maestras y copias de trabajo. Espere preguntas sobre los plazos de conservación establecidos por ley, contrato o política, las obligaciones de preservación legal que prevalecen sobre la eliminación habitual y la devolución o destrucción autorizada y documentada de todas las copias. Reconozca ISO/IEC 17025 como la norma de competencia de los laboratorios.