Declaración de limitaciones

Todo examen tiene límites. Algunos elementos no se proporcionaron, algunos datos estaban cifrados o se habían sobrescrito, algunas herramientas no podían leer un formato y algunos hallazgos admitían más de una explicación. Un informe que oculta estos límites induce a error a sus lectores; un informe que los declara les indica exactamente hasta qué punto pueden confiar en cada hallazgo. Esta lección aborda los tipos de limitaciones, cómo expresar el grado de confianza de forma coherente y cómo evitar afirmar más de lo que permite la evidencia.

Por qué las limitaciones deben figurar en el informe

• Las decisiones dependen de ellas. Un directivo o un tribunal que actúe basándose en un hallazgo debe conocer sus límites.
• Se descubrirán de todos modos. Un examinador designado por la otra parte buscará lagunas. Una limitación que el informe ya declara no tiene mayor trascendencia; una que se descubre más tarde perjudica la credibilidad de todo el informe.
• La imparcialidad lo exige. El examinador está al servicio del esclarecimiento de los hechos, no de una de las partes (Módulo 2), y los límites del trabajo forman parte de los hechos.

Declarar una limitación no equivale a admitir un trabajo deficiente. Demuestra que el examinador comprende el método lo suficientemente bien como para saber hasta dónde llega.

Tipos de limitaciones

• Limitaciones de alcance: lo que no se examinó. Elementos no proporcionados, cuentas o datos en la nube fuera de la autorización, un intervalo de fechas restringido o preguntas no planteadas.
• Limitaciones de los datos: lo que no estaba disponible en los datos. Volúmenes cifrados sin clave, datos eliminados que se sobrescribieron o se borraron mediante TRIM (Módulo 1), registros que se perdieron por rotación o que nunca se habilitaron, soportes dañados.
• Limitaciones de las herramientas: lo que las herramientas no podían hacer de forma fiable. Un analizador que no admite una nueva versión de una aplicación, errores conocidos en una versión de una herramienta o funciones que nunca se validaron (ISO/IEC 27041). Los informes de pruebas de herramientas, como los del programa Computer Forensics Tool Testing (CFTT) del NIST, ayudan a los examinadores a conocer estos límites.
• Limitaciones de tiempo y recursos: un plazo que solo permitió realizar búsquedas por palabras clave en algunos elementos, o equipos que no estaban disponibles.
• Limitaciones de interpretación: hallazgos que admiten más de una explicación, como una cuenta compartida, acceso remoto, malware o un reloj del sistema incorrecto.

Limitaciones habituales y cómo formularlas

Una buena redacción expone la limitación, su causa y su efecto en los hallazgos, sin disculpas ni vaguedades.

Expresión del grado de confianza

Los lectores necesitan saber con qué fuerza respaldan los hallazgos una conclusión. Hay dos enfoques habituales.

Escalas verbales

Una escala verbal utiliza un conjunto fijo de expresiones, como respaldo débil, moderado, fuerte y muy fuerte. La escala se define una sola vez en el informe, a menudo en un apéndice, y las mismas palabras siempre tienen el mismo significado. Mezclar términos imprecisos como "probablemente", "es probable" y "compatible con" confunde a los lectores. "Compatible con" es una expresión especialmente engañosa: solo significa que los hallazgos no contradicen una explicación, pero muchos lectores la interpretan como un respaldo fuerte.

El marco de verosimilitud

En la elaboración de informes evaluativos, el examinador considera dos proposiciones contrapuestas, por ejemplo, "el usuario copió los archivos" y "un proceso automático copió los archivos", y se pregunta cuánto más probables son los hallazgos si una es verdadera que si lo es la otra. El cociente entre esas dos probabilidades es la razón de verosimilitud, y las escalas verbales suelen vincularse a intervalos de esta razón. La guía para la elaboración de informes evaluativos publicada por la Red Europea de Institutos de Ciencias Forenses (ENFSI) en 2015 es un ejemplo ampliamente citado. En este marco, el examinador se pronuncia sobre los hallazgos, no sobre la probabilidad de que una proposición sea verdadera; esa decisión corresponde al tribunal o a quien deba tomar la decisión.

No encontrar evidencia no es evidencia de ausencia

"No se encontró evidencia de malware" significa que las búsquedas realizadas no encontraron ninguna. No significa que no hubiera malware. Un hallazgo de ausencia solo es significativo cuando se cumplen dos condiciones: el rastro se habría generado si el evento hubiera ocurrido, y el rastro se habría conservado y se habría encontrado con los métodos utilizados. Por tanto, un informe debe indicar dónde y cómo buscó el examinador, por ejemplo, "No se encontraron registros de dispositivos de almacenamiento USB en las ubicaciones enumeradas en el Apéndice B", y si cabría esperar rastros en esas ubicaciones.

Cómo evitar afirmaciones excesivas

• Un dispositivo o una cuenta no es una persona. La actividad realizada con una cuenta muestra que se utilizó la cuenta, no quién la utilizó. Las contraseñas compartidas, el acceso remoto y el malware son posibles explicaciones que deben considerarse.
• Una marca de tiempo es un valor registrado. Depende del reloj del sistema y de su configuración de zona horaria, y puede alterarse (Módulo 6).
• La presencia no implica conocimiento. Un archivo en la caché de un navegador o en una carpeta de descargas no demuestra que el usuario lo abriera o conociera su contenido.
• Evite palabras absolutas como "demuestra", "sin duda" e "indudablemente", y conclusiones jurídicas como "robó" o "culpable", que corresponden al tribunal.

Un ejemplo resuelto: reformulación de una afirmación excesiva

Un borrador de informe sobre el caso Nordvale (Lección 7.1) contiene esta frase: "El análisis demuestra que el Sr. Marsh robó los archivos de diseño el 4 de marzo al copiarlos en su unidad USB." Identifica a una persona cuando los datos solo muestran una cuenta, utiliza "demuestra" y "robó", da por hecho quién era el propietario de la unidad y afirma que se produjo una copia que no se observó directamente.

Una versión mejor: "El 4 de marzo de 2026, entre las 09:12 y las 09:40 UTC, mientras la cuenta jmarsh tenía una sesión iniciada, se conectó al elemento 1 un dispositivo de almacenamiento USB con número de serie 0A1B2C. Durante ese período, los registros del servidor (elemento 2) registran que la cuenta leyó once archivos de la carpeta Hydra y que, posteriormente, se abrieron desde el dispositivo archivos con los mismos nombres. En mi opinión, estos hallazgos proporcionan un respaldo fuerte a la proposición de que los archivos se copiaron al dispositivo utilizando este portátil, en lugar de llegar al dispositivo por otra vía. Los hallazgos no muestran quién utilizaba el portátil, y el dispositivo no estuvo disponible para su examen."

Puntos clave para el examen: Conozca los cinco tipos de limitaciones (alcance, datos, herramientas, tiempo y recursos, interpretación) y sea capaz de clasificar un ejemplo. Prevea preguntas sobre por qué las limitaciones refuerzan un informe, las escalas verbales coherentes, el marco de verosimilitud (hallazgos evaluados bajo dos proposiciones contrapuestas), la diferencia entre "no se encontró evidencia" y la evidencia de ausencia, y las afirmaciones excesivas, como tratar una cuenta como si fuera una persona.