Qué invalida una prueba

Una prueba pierde valor cuando falla alguna de estas cosas. Integridad: no hay huella inicial con la cual comparar, o la huella actual no coincide. Custodia: hay horas o traspasos sin responsable. Procedimiento: se trabajó sobre el original, no sobre una copia, y se alteraron sus metadatos o su contenido. Obtención: el acceso a la información no tenía una base aprobada, como una solicitud autorizada.

Las tres primeras muchas veces se pueden reparar si el original sigue existiendo y se documenta. La última rara vez: el problema no está en cómo se guardó, sino en cómo se obtuvo.

Abre la consola. Los cinco paquetes del caso tienen el mismo formato, y cada uno falla en una columna distinta, salvo uno. Lee las huellas, la custodia, sobre qué se trabajó y la base de acceso. Un paquete solo sirve tal cual cuando ninguna de esas cuatro columnas tiene un problema.

Es una lectura de descarte: cada paquete se mira contra las cuatro maneras de perder valor.

Un defecto de integridad o de custodia se puede reparar a veces: se vuelve a exportar desde la fuente mientras exista, se calcula la huella y se documenta cómo ocurrió el fallo. Pero hay un paquete cuyo problema no está en cómo se guardó sino en cómo se obtuvo la información. Volver a exportarlo lo repite: el acceso sigue sin base.

Lo que corresponde aquí es detener, informar a quien tiene la responsabilidad del caso y dejar que jurídico decida qué se puede hacer con lo que se vio.

Los paquetes sin huella inicial y con huella distinta pueden repararse si la fuente aún existe (por ejemplo, el evento sigue dentro de la retención del SIEM): se exporta de nuevo, se calcula la huella desde el principio, se documenta qué falló y se registra un nuevo eslabón. El paquete viejo no se borra ni se «corrige»: queda como parte del historial, con la nota de por qué se rehízo.

Lo que no se hace es calcular hoy la huella de un archivo que ya pasó por varias manos y presentarla como si fuera la de la exportación original.

En Colombia, la Ley 527 de 1999 establece que los mensajes de datos son admisibles como medio de prueba y que no se les niega fuerza probatoria por el solo hecho de ser un mensaje de datos ni por no presentarse en su forma original; su peso se valora con las reglas de la sana crítica. Por eso integridad y custodia importan: son lo que sostiene el peso del registro. Y la Ley 1581 de 2012 regula el tratamiento de datos personales, de modo que revisar el correo o los archivos de una persona exige una base y un procedimiento.

Decidir qué vale como prueba lo hace jurídico o la autoridad. Al analista le toca no destruir ese valor y no obtener información fuera de lo autorizado.