Qué significa realmente «cadena de custodia» en un disco duro

Es la expresión más repetida y peor entendida de los informes periciales informáticos. Aparece en casi todos, se documenta correctamente en muy pocos, y su ruptura casi nunca es un acontecimiento visible: es un hueco de tres semanas que nadie anotó.

No es un sello. Es una narración sin huecos

La cadena de custodia no es un documento que se adjunta al final del informe. Es la posibilidad de responder, en cualquier momento del procedimiento, a una pregunta sencilla: ¿dónde ha estado esta evidencia desde que se recogió, y quién ha podido tocarla?

Si esa narración tiene un hueco, la evidencia no queda automáticamente excluida, pero sí queda expuesta. Porque a partir de ese hueco cualquier alegación de alteración deja de ser especulativa y pasa a ser una posibilidad que nadie puede descartar.

Lo que la hace distinta en digital

Con una prueba física, la custodia protege el objeto. Con una prueba digital hay que proteger dos cosas a la vez: el objeto y su contenido, que puede modificarse sin dejar rastro visible y sin que el soporte cambie de aspecto.

De ahí que en informática forense la cadena de custodia se apoye en dos pilares:

• Custodia física: quién tiene el soporte, dónde y desde cuándo.
• Integridad criptográfica: una huella hash que permite demostrar que el contenido no ha cambiado.

El segundo es lo que hace que la cadena digital pueda ser más sólida que la física. Un precinto roto genera dudas; un hash que coincide despeja las dudas de forma verificable por cualquiera. Pero solo funciona si el hash se calculó en el momento correcto: en la adquisición, antes de cualquier análisis. Un hash calculado después de trastear el disco no acredita nada útil.

Qué tiene que constar

En el momento de la adquisición

• Fecha, hora y lugar exactos
• Identificación del soporte: marca, modelo y número de serie
• Estado en que se encontró: encendido o apagado, precintado o no
• Quién lo entrega y quién lo recibe, con firma de ambos
• Método y hardware empleados, incluido el bloqueador de escritura
• Huella hash del original y de cada copia generada
• Algoritmo empleado y su verificación tras la copia

En cada transferencia posterior

• Quién entrega, quién recibe, cuándo y para qué
• Estado del precinto
• Nueva verificación del hash cuando proceda

Durante el análisis

• Que el trabajo se hizo sobre copia y no sobre el original
• Dónde estuvo custodiado el original mientras tanto
• Registro de las operaciones realizadas sobre la copia

Dónde se rompe, en la práctica

Casi nunca por manipulación dolosa. Estos son los cinco puntos por los que se rompe de verdad, en orden de frecuencia:

1. El intervalo que nadie documentó

El equipo se retira un martes y se entrega al perito tres semanas después. Entre medias estuvo «en un armario». Quién tenía la llave de ese armario es una pregunta que se hará en la vista, y la respuesta debería estar escrita desde el primer día.

2. El vistazo previo

Antes de llamar al perito, alguien de sistemas enciende el equipo para comprobar si la sospecha tiene fundamento. Es comprensible y casi siempre bienintencionado. También significa que el estado del soporte en la adquisición ya no es el estado en el momento de los hechos, y que hay actividad en los registros que no es del investigado.

3. El hash que llega tarde

Se calcula la huella después de haber montado el disco o de haber copiado ficheros sueltos. Acredita la integridad desde ese momento, no desde la recogida, que es lo que hacía falta.

4. La copia de la copia

Se trabaja sobre una copia de una copia sin haber verificado el hash en cada paso. Si el resultado se impugna, no hay forma de saber en qué eslabón se introdujo la discrepancia.

5. La devolución sin acta

El soporte se devuelve al cliente sin documentarlo. Si más adelante hace falta una ampliación o una contrapericia, ya no se puede acreditar en qué estado salió del laboratorio.

El marco técnico

No hay que inventarse nada: existen normas publicadas que describen cómo debe hacerse, y ceñirse a ellas es lo que hace el trabajo comparable y verificable por un tercero.

• UNE 71505 — Sistema de gestión de evidencias electrónicas
• UNE 71506 — Metodología para el análisis forense de las evidencias electrónicas
• ISO/IEC 27037 — Identificación, recogida, adquisición y preservación de evidencia digital
• ISO/IEC 27042 — Análisis e interpretación de la evidencia digital

Que un informe las cite no garantiza que las haya seguido. Pero que no las cite ni describa un procedimiento equivalente sí dice algo.

La pregunta que lo resume

Si tuviera que quedarse con una sola comprobación sobre la cadena de custodia de un dictamen contrario, sería esta:

¿Puedo reconstruir, leyendo el informe, dónde estuvo la evidencia en cada momento y quién pudo acceder a ella?

Si la respuesta es sí, la cadena está documentada, aunque discrepe usted de las conclusiones. Si es no, hay un hueco. Y un hueco en la cadena de custodia es la impugnación más limpia que existe en prueba digital, porque no obliga a discutir de informática: obliga a la otra parte a demostrar algo que ya no puede demostrar.