Cadena de custodia y almacenamiento

La cadena de custodia documenta el recorrido de una pieza desde que se obtiene hasta que se presenta: cada vez que cambia de manos, se anota quién la entrega, quién la recibe, cuándo, para qué y en qué estado, y se firma. La norma ISO/IEC 27037:2012, sobre identificación, recolección, adquisición y preservación de evidencia digital, y la guía NIST SP 800-86 sobre técnicas forenses en la respuesta a incidentes coinciden en lo esencial: sin ese registro continuo, no se puede mostrar que lo analizado es lo que se recogió.

El estado importa tanto como las personas. Un sello numerado que se coloca al recoger y se verifica en cada traspaso convierte «estaba intacto» en algo comprobable.

Una cadena de custodia es continua o no lo es. Entre el segundo y el tercer paso del formulario hay casi tres días sin ninguna anotación: el equipo estaba en un armario, y nada en el formulario dice que alguien lo tocara. Ese silencio se puede contrastar con una fuente independiente del formulario, el registro automático de la cerradura.

Cruza registro_del_armario con tarjetas: una apertura que no corresponde a ningún paso del formulario es un acceso sin traspaso.

El sello numerado resuelve una parte del problema: si al guardar se anotó «intacto» y al retirar se anota «roto», algo ocurrió entre los dos momentos. No dice qué ocurrió (el sello puede romperse por una apertura legítima o por un golpe), pero ya no se puede asegurar que el equipo estuviera como se guardó.

Lee SELECT * FROM formulario_de_custodia y fíjate en la última columna de cada paso.

El almacenamiento forma parte de la cadena. Una pieza física se guarda en un lugar cuyo acceso se limita a quien lo necesita, se registra de forma automática y, si es posible, queda a la vista de una cámara. Aquí el armario lo abren tres áreas, una de las cuales no tiene relación con la investigación, y no hay cámara.

Consulta SELECT * FROM almacenamiento y compara con lo que acabas de ver en el formulario y en la cerradura.