Exportar y conservar la evidencia

Los resultados de una recolección están en el almacén del servidor mientras no se purguen, y ahí pueden cambiar: una purga automática, una migración, una persona con permisos de administración. Eso no los hace evidencia por sí mismos. Para que un paquete sostenga un caso se exporta a un recurso aparte, y al exportarlo se anota qué contiene, quién lo exportó, cuándo y su huella (un resumen hash que cambia si el archivo cambia).

Con la huella anotada en el momento de la copia, cualquiera puede comprobar meses después que lo que hay hoy es lo mismo que se guardó entonces.

Un paquete sin huella registrada es un paquete que nadie puede defender: si alguien pregunta si cambió, no hay con qué contestar. La auditoría de exportaciones empieza por ahí: recorrer la columna de huellas y señalar las que faltan.

Una exportación sin huella no se descarta; se declara como no verificable y, si el original aún existe, se vuelve a exportar con huella y se anota la relación entre ambas.

Cada tipo de paquete tiene un plazo de conservación fijado por la política de la organización, que se cuenta desde una fecha concreta. Al auditar, interesa saber cuánto falta para que un paquete pueda purgarse, y confirmar que nadie lo ha purgado antes.

El plazo de un paquete de caza sin incidente confirmado cuenta desde la fecha de exportación. Con esa fecha y el plazo, la fecha de vencimiento se calcula, y de ahí los días que faltan desde hoy.

El sitio importa tanto como la huella. Un recurso donde cualquiera del equipo puede escribir permite que un paquete se cambie por error, sin dejar rastro de quién. El destino correcto es un recurso de solo lectura para todos salvo la copia inicial, con acceso limitado a quien lo necesita y con registro de lo que se hace.

La tabla de exportaciones dice dónde quedó cada paquete y quién podría modificarlo.

Cuando se descubre un paquete en un sitio débil, la tentación es mover el archivo y seguir. Pero mover un archivo sin anotarlo rompe lo poco que quedaba de su historia. La corrección correcta conserva la trazabilidad: se verifica la huella contra la anotada, se copia al recurso correcto, se comprueba la huella de la copia y se registra el movimiento con fecha y responsable, dejando constancia de dónde estuvo antes.