El informe y la cadena de custodia

La huella de una evidencia se calcula en el momento de adquirirla y se vuelve a calcular cuando se presenta o se entrega. Si las dos coinciden, el archivo es el mismo; si no, algo lo cambió, aunque haya sido un solo carácter, y la evidencia pierde fuerza hasta que se explique. Comparar a ojo dos listas de huellas se hace nombre por nombre, no fila por fila.

La cadena de custodia es la lista de traspasos de una evidencia: quién la tuvo, desde y hasta cuándo, con la firma de quien recibe. Un hueco no demuestra una alteración, pero tampoco permite descartarla, y el informe tiene que declararlo. Se mide desde el traspaso en el que nadie firmó hasta el siguiente.

Cada afirmación de un informe pericial se apoya en una evidencia, pero apoyarse no es lo mismo que demostrarse: la evidencia solo muestra lo que su fuente registra. El perito no afirma más de lo que el artefacto contiene, y separa el hecho observado de la interpretación. Para revisar un borrador se compara cada afirmación con lo que dice la ficha de la evidencia que cita.

Las condiciones de una póliza o de un contrato fijan plazos desde un hecho concreto, y ese hecho se busca en la cronología del caso, no se supone. Un plazo contado en horas se suma hora por hora, atravesando cambios de día, y se expresa en la hora local de la empresa si así lo dice el texto.

El tiempo de detección es una métrica que cambia por completo según desde dónde se cuente: desde la creación del archivo, desde la alerta o desde la confirmación dan cifras muy distintas. Por eso la definición va escrita junto a la cifra. Además, las fuentes de la cronología escriben en zonas horarias distintas y hay que llevarlas a una sola antes de restar.