Cómo leer un informe pericial informático en veinte minutos

No hace falta entender de informática forense para detectar si un dictamen es sólido. Hace falta saber qué tiene que estar y no está. Esta es la lectura que yo hago cuando un despacho me manda el informe de la contraparte, en el orden en que la hago.

La idea que ordena todo lo demás

Un informe pericial informático no vale por sus conclusiones. Vale por si otro perito, leyéndolo, podría repetir el trabajo y llegar al mismo resultado.

A eso se le llama reproducibilidad, y es el criterio que ordena esta lectura. Cada una de las comprobaciones que siguen es, en el fondo, la misma pregunta formulada de otra manera: ¿me está dando este informe lo necesario para verificarlo, o me está pidiendo que me fíe?

Minuto 1 a 5: la evidencia

¿Identifica los soportes por número de serie?

«Se analizó el ordenador portátil de la empresa» no identifica nada. Debe constar marca, modelo, número de serie y, si procede, del disco. Sin eso no hay forma de saber que el objeto analizado es el objeto del litigio.

¿Consta la huella hash de origen?

Es la comprobación más rentable de todas, y la que más informes suspenden. Debe aparecer un valor hash —normalmente SHA-256— calculado sobre el soporte original, y el mismo valor calculado sobre la copia analizada. Si no aparece ningún hash, no hay forma de acreditar que lo analizado es lo incautado. Todo lo que venga después descansa sobre esa ausencia.

¿Hay acta de adquisición?

Con fecha, hora, lugar y quién entregó el material a quién. Si el informe empieza directamente por el análisis, falta el eslabón que une la evidencia con el procedimiento.

¿Se documenta la custodia intermedia?

Dónde estuvo el soporte entre que se recogió y que se analizó, y quién tuvo acceso. Un hueco de tres semanas sin documentar es un hueco por el que cabe una impugnación entera.

Minuto 5 a 10: el método

¿Se trabajó sobre copia o sobre el original?

Debe decirlo expresamente. Analizar directamente sobre el soporte original lo modifica y hace irrepetible el análisis. Si el informe no lo aclara, es una pregunta obligada para la ratificación.

¿Se empleó bloqueo de escritura?

El bloqueador por hardware impide que el sistema del perito escriba en el soporte examinado. Su ausencia, o su falta de mención, es un defecto de método serio.

¿Se nombran las herramientas, con versión?

«Se emplearon herramientas forenses especializadas» no es una respuesta. Debe constar qué programa y en qué versión, porque distintas versiones producen resultados distintos y porque sin ese dato nadie puede reproducir el trabajo.

¿Se describe el procedimiento con detalle suficiente?

Aquí basta con una prueba mental: si le diera este informe a otro perito, ¿tendría lo necesario para repetir el análisis? Si la respuesta es no, el dictamen no es verificable, y eso es un argumento que se puede sostener sin saber nada de informática.

Minuto 10 a 15: el salto lógico

Esta es la parte donde se ganan los asuntos, y donde un letrado atento tiene tanta ventaja como un técnico.

¿Las conclusiones se siguen de los datos?

Lea el apartado de conclusiones y vuelva atrás a buscar el dato concreto que sostiene cada afirmación. Es sorprendente la frecuencia con la que una conclusión rotunda descansa sobre un hallazgo que solo la hace posible, no necesaria.

Un ejemplo de los que se repiten: el informe acredita que un fichero se copió a un dispositivo USB, y concluye que el trabajador se lo llevó. El dato acredita que ocurrió desde esa sesión de usuario. Quién estaba físicamente delante del teclado es una inferencia distinta, que necesita apoyo adicional.

¿Se declara el grado de certeza?

Un dictamen técnico serio distingue entre lo que consta, lo que es altamente probable y lo que es compatible con varias explicaciones. Un informe redactado en certezas absolutas de principio a fin no es más fuerte: es menos riguroso, y esa es una debilidad explotable.

¿Se consideraron hipótesis alternativas?

La pregunta clave: ¿qué otra cosa podría producir el mismo resultado observado? Un buen perito enumera las alternativas y explica por qué las descarta. Si el informe no menciona ninguna, o no ha buscado o no ha querido encontrarlas.

Minuto 15 a 20: el firmante

¿Acredita cualificación en esta materia concreta?

Ser informático no habilita para todo. El análisis de autenticidad de audio, la extracción forense de terminales móviles y la valoración de código fuente son especialidades distintas. Conviene comprobar si la titulación y la experiencia que declara guardan relación con lo que ha hecho.

¿Consta la declaración de objetividad?

El artículo 335.2 de la LEC exige que el perito manifieste bajo juramento o promesa que actúa con la mayor objetividad posible y que conoce las sanciones penales en que podría incurrir. Su ausencia es un defecto formal fácil de señalar.

¿Hay relación previa con la parte?

No inhabilita por sí sola, pero es relevante y debe declararse. Vale la pena preguntarlo en la ratificación.

Las cinco ausencias que casi siempre deciden

1. No hay hash de origen. No se puede acreditar que lo analizado sea lo incautado.
2. No hay acta de adquisición. Falta el eslabón entre la evidencia y el procedimiento.
3. No se identifican las herramientas y su versión. El resultado no es reproducible.
4. No hay hipótesis alternativas. El análisis fue confirmatorio, no verificativo.
5. No se declara el grado de certeza. Se afirma como cierto lo que solo es probable.

Cuando faltan tres o más de estas cinco, la impugnación tiene recorrido con independencia de si el contenido del informe es acertado. Y conviene subrayar esto último, porque marca la diferencia entre una contrapericia rigurosa y una pelea de peritos: un informe puede tener razón y ser inservible. Lo que se cuestiona no es la conclusión, es que el procedimiento seguido permita sostenerla.

Qué hacer con el resultado de esta lectura

Si de estos veinte minutos salen dos o tres huecos serios, hay dos caminos, y no son excluyentes: preparar el interrogatorio del perito contrario para que esos huecos queden reconocidos en el acto del juicio, o encargar un informe contrapericial que los documente de forma ordenada y aporte un análisis propio.

Lo que no funciona es discrepar de las conclusiones sin atacar el método. Eso convierte la vista en la palabra de un técnico contra la de otro, y ahí decide la impresión, no la prueba.