Delitos informáticos: dónde está la línea

El primer artículo del título, el 269A, describe el acceso abusivo a un sistema informático. Su redacción no se queda en entrar sin permiso: también alcanza a quien tiene un permiso y va más allá de lo que se pactó, y a quien sigue dentro cuando el dueño legítimo ya no lo quiere ahí. Para un evaluador esa segunda parte es la importante. Tener un contrato no convierte en lícito todo lo que se haga durante el encargo: lo que queda fuera de los objetivos, de las fechas o de las horas pactadas deja de estar cubierto por lo acordado.

Otros artículos del mismo título describen conductas hechas por quien no tiene facultad para hacerlas: el que impide u obstaculiza el funcionamiento de un sistema, el que destruye, borra o altera datos, el que produce o distribuye programas dañinos o el que obtiene o divulga datos personales con provecho propio o de un tercero. Cuál es cuál lo vas a buscar en el laboratorio. La interceptación de datos (269C) está redactada distinto: la describe por la falta de una orden judicial previa y no menciona el permiso del dueño; por eso cualquier captura de tráfico en un encargo se pacta por escrito y se consulta con el asesor jurídico antes de hacerla.

La bitácora es el registro de lo que el equipo hizo, con hora y objetivo. Es la mejor defensa del evaluador cuando todo está dentro de lo pactado, y la prueba más clara cuando algo no lo está. Por eso se revisa cada día contra el alcance, no al final del encargo.

Abre el laboratorio y compara cada objetivo de la bitácora con los objetivos del alcance.

La ventana no son solo fechas. Si la declaración dice de 19:00 a 05:00, una acción a media mañana está fuera de lo acordado aunque el objetivo sea correcto y el día esté dentro del rango. La ventana existe por algo: a esas horas el cliente tiene a alguien vigilando, o la operación de la planta tolera mejor una interrupción.

El alcance dice que en producción solo se modifican o borran los registros que creó el propio evaluador. Una prueba de borrado sobre registros reales no demuestra más que la misma prueba sobre un registro de prueba, y deja al cliente sin datos que necesita.

Encontraste en la bitácora de tu propio equipo una entrada que se salió de lo acordado. Nadie del cliente lo ha notado todavía. Hay varias salidas posibles; solo una deja a las dos empresas en posición de arreglarlo.