Cuándo el triaje no basta

Un paquete de triaje contiene lo que estaba en la lista. Por construcción, no puede contestar preguntas sobre lo que ya no existe como archivo visible: lo que se borró antes de recolectar, lo que quedó en el espacio sin asignar o lo que nunca estuvo en la lista. Para esas preguntas solo sirve una copia que conserve todo el soporte.

Abre la estación y lee hallazgos.txt. El primer hallazgo no habla de un archivo sino del propio registro de eventos: arranca con un evento que indica que fue borrado. Un registro de auditoría borrado es en sí mismo un indicio, porque quien limpia suele hacerlo para ocultar algo.

Los criterios de criterios.txt se escribieron antes del caso, para no decidir a la medida del miedo o de la prisa. Basta que se cumpla uno. Contrasta cada hallazgo con la lista y fíjate en cuál de ellos se activa por el borrado del registro.

Con un criterio cumplido, el triaje no basta. La decisión no es abandonarlo: el paquete sigue siendo evidencia válida y ya contesta parte de las preguntas. Se conserva y se pide, además, la imagen del volumen afectado. Los otros criterios no cumplidos no cambian el resultado: uno es suficiente.