Habilitación legal y alcance

La informática forense solo es lícita cuando se basa en una habilitación adecuada, y solo sigue siéndolo mientras el trabajo se mantenga dentro de los límites que esta establece. De ahí surgen cuatro preguntas: de dónde procede la habilitación, quién puede otorgarla, cómo se documenta el alcance y qué hacer cuando la evidencia conduce más allá de él. Los detalles varían entre países, pero estos principios se aplican en todos los sistemas jurídicos. La privacidad se aborda en la Lección 2.2 y los deberes propios del examinador, en la Lección 2.3.

Por qué la habilitación es lo primero

Examinar datos sin habilitación puede constituir un delito en sí mismo: la mayoría de los países tipifican como delito el acceso no autorizado a sistemas informáticos, y las leyes de privacidad restringen quién puede tratar información personal. Incluso cuando no se infringe ninguna ley, la evidencia obtenida sin la habilitación adecuada puede ser excluida o recibir un menor valor probatorio, y el examinador, no solo quien dio la instrucción, puede enfrentarse a quejas, reclamaciones o medidas disciplinarias. Comprobar la habilitación forma parte de la primera fase del proceso forense (Módulo 1), no es una formalidad.

Fuentes de habilitación

En la mayoría de los sistemas jurídicos existen cinco fuentes de habilitación, con distintas denominaciones.

De la última fila se desprende una regla útil: nadie puede autorizar lo que no tiene derecho a hacer por sí mismo. Un cliente no puede instruir a un examinador para que acceda ilícitamente al correo electrónico de la otra parte, y un empleador no puede autorizar el acceso a la cuenta bancaria privada de un empleado porque se haya abierto alguna vez en una computadora portátil de la empresa.

Quién puede autorizar qué

Antes de basarse en el permiso de alguien, determine qué controla realmente esa persona o entidad.

• Propietario del dispositivo: la persona u organización propietaria del hardware, como un empleador que entrega computadoras portátiles. Ser propietario del dispositivo no otorga automáticamente derechos sobre todas las cuentas utilizadas en él.
• Usuario: la persona que utiliza efectivamente el dispositivo. Un usuario puede dar su consentimiento respecto de sus propios datos, pero no necesariamente respecto de los de otros usuarios de un dispositivo compartido.
• Titular de la cuenta: la persona u organización a cuyo nombre está registrada una cuenta en línea. Una organización que administra buzones corporativos normalmente puede autorizar el acceso a ellos, con sujeción a sus políticas y a la legislación local de privacidad; una cuenta de correo web personal pertenece a su titular.
• Proveedor de servicios: la empresa que almacena los datos. Los proveedores normalmente solo entregan los datos de sus clientes a petición del cliente o en virtud de un instrumento jurídico.

Registre quién autorizó qué y sobre qué base. Si no está claro, consulte a un abogado antes de actuar.

Alcance: los límites del trabajo

La habilitación establece que un examen puede realizarse; el alcance establece qué puede abarcar. Un buen alcance se documenta por escrito, es específico y se acuerda antes de comenzar el trabajo. Por lo general, define cinco aspectos:

• Dispositivos y medios: qué computadoras portátiles, teléfonos, unidades o servidores, identificados por número de serie o etiqueta de inventario.
• Cuentas: qué cuentas de correo electrónico, de la nube o de mensajería, y de quién.
• Tipos de datos: por ejemplo, correo electrónico, documentos, mensajes de chat, historial de dispositivos USB o historial del navegador.
• Intervalo temporal: el período pertinente, como del 1 de marzo al 15 de abril.
• Términos de búsqueda y preguntas: las palabras clave, los nombres o los tipos de archivo que se deben buscar, y las preguntas que el examen debe responder.

Cada elemento del alcance debe justificarse por las preguntas del caso (Módulo 1). Exceder el alcance es una de las formas más comunes de que un trabajo técnicamente sólido se vuelva inutilizable: según el sistema jurídico, el material encontrado fuera de él puede ser excluido, puede viciar los hallazgos derivados de él o puede llevar a un tribunal a dudar de todo el examen. También puede vulnerar la privacidad de personas ajenas al caso y exponer al examinador a responsabilidades personales. Las instrucciones imprecisas propician desviaciones, y las desviaciones son difíciles de defender.

Cuando se encuentra algo fuera del alcance

Los examinadores encuentran con frecuencia material que su habilitación no cubre, como indicios de otro delito. Los sistemas jurídicos tratan estos descubrimientos de manera diferente, pero las buenas prácticas son las mismas en todas partes:

1. Detenga el examen de ese material. No abra más archivos ni realice búsquedas adicionales para "ver de qué se trata".
2. Documente qué vio, dónde, cuándo y cómo quedó a la vista, en las notas que toma en el momento (Módulo 5).
3. Preserve el elemento tal como está, para que no se pierda nada si se otorga la habilitación más adelante.
4. Informe del descubrimiento a la persona responsable del caso o a la autoridad que emitió la instrucción.
5. Solicite una habilitación adicional, como una orden nueva o ampliada, un consentimiento o una instrucción, antes de continuar.

Algunos materiales, como el presunto material de abuso sexual infantil, pueden generar obligaciones legales inmediatas; conozca de antemano lo que exige su jurisdicción.

Datos almacenados en el extranjero o en la nube

Los datos en la nube pueden estar alojados en varios países, y el proveedor puede tener su sede en otro distinto. Tres conceptos resultan útiles.

• Jurisdicción: un instrumento jurídico emitido en un país no se aplica automáticamente a un proveedor o a datos situados en otro. La legislación aplicable puede depender de dónde se almacenan los datos, dónde está establecido el proveedor y dónde reside el titular de la cuenta.
• Asistencia jurídica mutua: los Estados se solicitan ayuda para obtener evidencia a través de canales formales, a menudo basados en tratados, y las solicitudes pueden tardar meses. El Convenio sobre la Ciberdelincuencia del Consejo de Europa (Convenio de Budapest, 2001) es uno de los tratados que prevén esta cooperación.
• Solicitudes de preservación: a menudo se puede pedir a un proveedor que preserve rápidamente datos específicos mientras se obtiene el instrumento para su entrega. La preservación conserva los datos; no da acceso a ellos.

Iniciar sesión en una cuenta en la nube con credenciales encontradas en un dispositivo incautado constituye un nuevo acceso a un sistema remoto. Muchos sistemas jurídicos exigen una habilitación independiente para ello, por lo que nunca debe suponerse que está incluido en el examen de un dispositivo.

Ejemplo resuelto: redacción del alcance

Mariana, responsable de cumplimiento de Northline Freight, una empresa de logística que reaparece en lecciones posteriores, pide a un examinador externo que "revise la computadora de Tomas, filtró nuestra oferta de licitación a un competidor". El examinador convierte esta petición en un alcance escrito.

Ambas partes lo firman. Si el examen apunta posteriormente al correo web personal de Tomas, el examinador se detiene, registra el hallazgo e informa a Northline de que se necesita una habilitación adicional, que una instrucción de la empresa por sí sola podría no proporcionar.

Enfoque del examen: Empiece por las principales fuentes de habilitación (orden o mandamiento judicial, facultad legal, consentimiento, habilitación contractual o laboral e instrucción del cliente) y recuerde que nadie puede autorizar más de lo que permiten sus propios derechos. Distinga entre propietario del dispositivo, usuario, titular de la cuenta y proveedor de servicios. Conozca los elementos de un alcance escrito (dispositivos, cuentas, tipos de datos, intervalo temporal, términos de búsqueda y preguntas), por qué excederlo puede hacer que la evidencia sea inutilizable y los pasos que deben seguirse cuando aparece material fuera del alcance: detenerse, documentar, preservar, informar y solicitar una habilitación adicional. Comprenda la jurisdicción, la asistencia jurídica mutua y las solicitudes de preservación.