Equipo encendido o apagado, y el disco cifrado

Cuando un volumen está cifrado con una herramienta de cifrado de disco completo y el sistema ya lo desbloqueó, el equipo encendido lo lee en claro para trabajar. Si se apaga o se reinicia, el volumen vuelve a quedar bloqueado: lo que hay en el disco es contenido cifrado que solo se abre con la clave, o con la clave de recuperación que guardó TI. Una imagen del disco sacada después del apagado, sin esa clave, sirve de poco.

Por eso la decisión «apago y luego adquiero» no es solo una pérdida de memoria: puede ser también una pérdida de acceso a los datos. Y la memoria adquirida con la máquina viva puede contener material de claves, así que esa imagen se trata como un secreto, igual que la propia evidencia.

El primer paso es una ficha por equipo: estado de energía, si el disco está cifrado, si el volumen está desbloqueado y cuánta RAM tiene. Con esa ficha, la pregunta clave para cada equipo es distinta: ¿qué se pierde si espero?, ¿qué se pierde si lo apago?

Abre el laboratorio y lee la ficha de los cuatro equipos. Busca el único que está encendido con el volumen cifrado ya desbloqueado: es donde cada minuto cuenta y donde apagar sería más caro.

Un equipo apagado con el disco cifrado se puede adquirir sin prisa por la memoria, porque ya no hay memoria. Lo que importa es poder abrir el volumen después, y eso depende de la clave de recuperación. En una empresa ordenada la clave está en custodia de un responsable, en un sobre sellado o en un gestor de claves, y usarla es un acto que se anota: quién, cuándo, para qué. La clave no se copia a un archivo, ni se pega en un chat, ni se deja en el escritorio de la estación.

Quién la guarda y bajo qué referencia es lo que se anota en el expediente antes de pedirla.

Un equipo suspendido no está apagado: su memoria sigue alimentada con la poca corriente que le queda. Si la batería se agota, el contenido de esa memoria se pierde igual que en un apagado. Con el portátil de gerencia en suspensión, batería al 38 % y sin cargador, el reloj corre. La decisión es asegurar la alimentación sin cambiar su estado, y planificar la captura con el equipo despierto, anotando cada acción que se haga sobre él.

Cerrarlo del todo «para que no cambie» lo cambia más que cualquier otra cosa: borra la memoria que se quería conservar.

Al otro extremo está el equipo apagado, sin cifrar y que no intervino en el incidente: su disco se adquiere con calma, con un bloqueador de escritura, y no hay clave que pedir ni memoria que capturar. Es el caso más simple del módulo, y verlo junto a los demás ayuda a ver por qué se ordena la jornada así: primero lo que se pierde, después lo que se bloquea, y al final lo que espera.

Cada equipo recibe la decisión que su ficha pide, no la del equipo de al lado.