Cadena de custodia y evidencia para un proceso

La cadena de custodia es una tabla donde cada fila es una entrega: qué evidencia, cuándo, quién la entrega, quién la recibe, para qué y el resumen criptográfico (hash) comprobado al recibirla. El hash cierra el círculo: si el que se calculó al adquirirla coincide con el que se calcula en cada entrega, el contenido no cambió.

Dos reglas la hacen útil. Primera, continuidad: quien recibe una evidencia es quien la entrega después, sin huecos. Segunda, integridad: el hash coincide siempre. Se trabaja sobre copias verificadas y el original se guarda sin tocar. Una custodia con un hueco no prueba que alguien hizo algo malo; prueba que ya no se puede demostrar que no lo hizo.

Al recibir una evidencia se calcula su hash y se compara con el de la adquisición. En Cumbre Andina hay tres evidencias y dos tablas: evidencias trae el hash calculado al adquirir y custodia trae el comprobado al recibir cada una en el laboratorio. En una de ellas no coinciden, aunque la diferencia sea de un carácter.

Un solo carácter distinto significa que el contenido es otro. No se interpreta, no se «corrige» ni se asume que fue un error de transcripción: se documenta y se actúa, como verás en la tarea 4.

La continuidad se comprueba siguiendo una evidencia de fila en fila: la persona que recibe en una entrega debe ser la que entrega en la siguiente. Si quien entrega no aparece recibiendo antes, hay un tramo en el que la evidencia estuvo en manos que el registro no conoce.

No es una acusación: puede ser una entrega que nadie anotó. Pero en un proceso la parte contraria solo necesita ese tramo para dudar de todo lo demás, y la corrección posterior de un formato lo empeora, porque parece un arreglo hecho después.

Cuando el hash no coincide o hay un hueco, lo correcto es dejar el registro tal como está y añadir una nota fechada que explique lo que se sabe y lo que no. Nunca se reescribe el hash ni se rellena el formato para que cuadre. Después se vuelve al original, si se conserva, y se comprueba su hash; si coincide con el de la adquisición, el análisis puede seguir sobre una copia nueva verificada, y la anomalía queda explicada.

Si no hay original que lo confirme, esa evidencia se trata con reserva y el informe lo dice. Y la decisión de si sirve para un proceso no es tuya: se avisa al área legal con el registro intacto.