Nociones de informe pericial · Lección 1 de 3
Qué debe contener un informe
7 min de lectura
Para la mayoría de las personas que intervienen en un caso, el informe es el examen. Los jueces, abogados, directivos y otros examinadores rara vez abrirán una imagen forense; leen lo que el examinador escribió sobre ella. Un examen sólido con un informe deficiente puede fracasar, porque nadie puede saber qué se hizo ni hasta qué punto confiar en el resultado. Esta lección describe qué contiene un informe forense y por qué se incluye cada parte. La lección 7.2 aborda las limitaciones y la lección 7.3 trata sobre cómo escribir para lectores que no son especialistas. Las notas tomadas durante el trabajo, que respaldan el informe, se abordan en el módulo 5.
Para qué sirve un informe
Un informe forense comunica los hallazgos para que otras personas puedan comprenderlos, verificarlos y basarse en ellos. Cada uno de esos verbos apunta a un lector diferente.
- Comprender: la persona que debe decidir, como un juez, un tribunal o un directivo, necesita respuestas claras a las preguntas planteadas.
- Verificar: un revisor o un examinador designado por la otra parte necesita suficientes detalles para comprobar el método y repetir el trabajo.
- Basarse: todos necesitan saber en qué se basan los hallazgos y cuáles son sus límites, para que una decisión no vaya más allá de lo que respalda la evidencia.
ISO/IEC 27042, la norma sobre el análisis y la interpretación de evidencia digital (módulo 1), es la referencia internacional habitual para informar sobre ese trabajo. En términos generales, exige que un informe deje claro qué se examinó, cómo, qué se encontró y cómo se deriva cada conclusión de los hallazgos. Los laboratorios acreditados conforme a ISO/IEC 17025 también deben cumplir los requisitos de esa norma para la presentación de resultados.
La estructura típica
Los formatos de informe difieren entre organizaciones y países, pero la mayoría contiene los mismos componentes, normalmente en este orden.
| Sección | La pregunta que responde | Contenido típico |
|---|---|---|
| Identificación | ¿Quién lo redactó, para qué caso y cuándo? | Referencia del caso, versión del informe, nombre y cualificaciones del examinador, fecha de recepción de las instrucciones, período del examen, fecha del informe |
| Instrucciones y alcance | ¿Qué se solicitó, quién lo solicitó y dentro de qué límites? | Las preguntas recibidas, quién las formuló, la autorización, qué se incluyó en el alcance y qué quedó fuera |
| Elementos recibidos | ¿Qué se examinó exactamente? | Identificadores de los elementos, descripciones, números de serie, fechas de recepción, estado de los precintos, valores hash con indicación del algoritmo |
| Métodos y herramientas | ¿Cómo se realizó el trabajo? | Procedimientos seguidos, nombres y versiones exactas de las herramientas, ajustes que afectan a los resultados, cómo se verificaron los resultados |
| Hallazgos | ¿Qué muestran los datos? | Observaciones con su fuente: elemento, ruta de archivo, registro, marca de tiempo y zona horaria |
| Interpretación | ¿Qué significan los hallazgos? | Opinión, su fundamento, las explicaciones alternativas consideradas y en qué medida los hallazgos respaldan cada una |
| Limitaciones | ¿Qué no se pudo hacer o conocer? | Límites del alcance, de los datos, de las herramientas, del tiempo y de la interpretación (lección 7.2) |
| Conclusiones | ¿Cuál es la respuesta a cada pregunta? | Una respuesta por pregunta, con referencias a los hallazgos |
| Anexos | ¿Dónde están los detalles? | Detalles técnicos, cronologías, listas completas de elementos, glosario |
Hechos, inferencias y opiniones
El lector debe poder distinguir lo que el examinador observó de lo que concluyó. Deben mantenerse separados tres tipos de afirmaciones y redactarse de forma que la diferencia sea evidente.
- Hecho (observación): lo que contienen los datos, que cualquier persona con la misma imagen puede verificar. "El subárbol SYSTEM del Registro del elemento 1.1 contiene una entrada correspondiente a un dispositivo de almacenamiento USB con el número de serie 0A1B2C."
- Inferencia: una conclusión a la que se llega mediante el razonamiento a partir de hechos. "Ese dispositivo se conectó al equipo portátil el 4 de marzo de 2026."
- Opinión: la valoración del examinador, basada en sus conocimientos especializados, de lo que significan los hallazgos para las preguntas; por ejemplo, en qué medida respaldan una explicación frente a otra.
Muchos sistemas jurídicos permiten que un perito emita opiniones que los testigos ordinarios no pueden emitir, pero solo dentro de su ámbito de especialidad y con indicación de su fundamento. Una opinión sin fundamento resulta poco útil para un lector que debe valorarla.
Reproducibilidad: suficientes detalles para repetir el trabajo
El módulo 1 definió la reproducibilidad: otro examinador, utilizando el mismo método, obtiene el mismo resultado. Un informe solo lo hace posible si registra:
- los valores hash de cada elemento e imagen, para que un segundo examinador pueda confirmar que dispone de los mismos datos;
- el nombre y la versión exacta de cada herramienta, porque el comportamiento del procesamiento y los errores conocidos cambian entre versiones;
- los ajustes que afectan a los resultados, como la zona horaria utilizada para mostrar las marcas de tiempo (módulo 6);
- la ubicación precisa de cada hallazgo: ruta de archivo, clave del Registro, tabla de base de datos o número de registro;
- cómo se recuperaron los datos eliminados u ocultos y cómo se comprobaron los resultados clave, por ejemplo, con una segunda herramienta o mediante una inspección manual.
Un informe no necesita enumerar cada clic. Las notas tomadas durante el trabajo contienen ese nivel de detalle (módulo 5) y pueden facilitarse si un revisor las solicita.
Conclusiones que responden a las preguntas
Cada pregunta de las instrucciones debe recibir una respuesta, en el mismo orden y con la misma numeración, incluso cuando la respuesta sea "no se pudo determinar". Las conclusiones no introducen nada nuevo: cada una debe poder vincularse con los hallazgos expuestos anteriormente. Los hallazgos exculpatorios deben figurar en las conclusiones con la misma claridad que los inculpatorios (módulo 1). Si posteriormente se corrige o amplía un informe, se emite una nueva versión o un informe complementario y se indican los cambios, en lugar de sustituir el texto anterior sin indicarlo.
Un ejemplo desarrollado: robo de datos mediante USB
Nordvale Engineering sospecha que un ingeniero copió archivos de diseño antes de renunciar. A continuación se presenta el esquema del informe del examinador.
- Identificación: informe NV-2026-014, versión 1.0; nombre y cualificaciones del examinador; instrucciones recibidas el 10 de marzo de 2026; examen del 11 al 18 de marzo; informe fechado el 20 de marzo.
- Preguntas: Q1, ¿se conectó un dispositivo de almacenamiento USB al equipo portátil NV-LT-0193 entre el 1 y el 15 de marzo de 2026? Q2, ¿se transfirieron archivos de la carpeta del proyecto Hydra a dicho dispositivo? Q3, ¿qué cuenta de usuario estaba en uso en ese momento?
- Elementos: elemento 1, el equipo portátil con su número de serie; elemento 1.1, su imagen forense con el valor SHA-256 registrado durante la adquisición y la verificación; elemento 2, una exportación de los registros de acceso del servidor de archivos con su propio valor hash.
- Métodos: creación de la imagen mediante un bloqueador de escritura; herramientas identificadas con sus versiones exactas; todas las horas expresadas en UTC.
- Hallazgos: registros del dispositivo en el subárbol SYSTEM y en setupapi.dev.log; archivos de acceso directo (LNK) que muestran que se abrieron archivos con los mismos nombres que los archivos de Hydra desde el volumen del dispositivo (módulo 6).
- Interpretación: los hallazgos respaldan la transferencia al dispositivo; se consideró y descartó una copia de seguridad automática, porque no había ningún software de copia de seguridad configurado.
- Limitaciones: el dispositivo USB no estaba disponible, por lo que no se pudo confirmar su contenido; los hallazgos identifican una cuenta, no una persona.
- Conclusiones: respuestas a Q1, Q2 y Q3, cada una con referencias a los hallazgos.
- Anexos: cronología de eventos, lista de dispositivos USB, glosario.
Enfoque para el examen: Conozca las secciones de un informe forense y qué responde cada una, especialmente los elementos recibidos con sus identificadores y valores hash, las herramientas con sus versiones exactas y las conclusiones que responden a todas las preguntas. Sepa distinguir los hechos de las inferencias y de las opiniones, y explicar qué detalles hacen que un informe sea reproducible. Recuerde ISO/IEC 27042 como referencia para informar sobre el análisis y la interpretación, y que las conclusiones deben poder vincularse con los hallazgos.