Huellas y custodia de lo recuperado

Hay tres capas. La imagen maestra se sella al adquirir y no se toca. Las copias de trabajo se derivan de ella, se sellan al crearlas y se vuelven a comprobar después de cada sesión de análisis. Y cada archivo recuperado es evidencia nueva: recibe un identificador propio, se anota con qué método salió y de qué copia, y se sella con su propia huella.

La huella de un recuperado no es la del archivo original: el archivo original, si existía, ya no está para compararlo; la huella sirve para demostrar que, desde que se recuperó, no cambió.

Verificar es comparar: la huella de cada imagen al crear las copias contra la huella tras el análisis. Si la maestra coincide y una copia de trabajo no, la maestra sigue siendo la prueba y la copia se ha modificado (una herramienta escribió en ella, un montaje sin protección). No se arregla la lista: se anota, se descarta esa copia de trabajo y se rehace desde la maestra, con su huella nueva.

Compara las dos listas línea a línea por el nombre del archivo.

El registro de recuperados debe tener, para cada fila, el identificador, el método, quién lo recuperó, cuándo y su huella. Una fila sin huella no se puede defender: no hay manera de demostrar que el archivo que hoy se muestra es el que salió de la copia. No se completa a posteriori calculándola «ahora» como si hubiera estado desde el principio: se calcula, se anota la fecha real del cálculo y se declara el hueco.

Revisa el registro de recuperados.

Cuando lo recuperado se entrega, la custodia no empieza de cero: enlaza con la de la imagen. El acta nombra la imagen maestra y su huella, la copia de trabajo de la que se partió y la suya, el método y la herramienta con su versión, el soporte donde se guardó el resultado y quién lo recibe. Con eso, un tercero puede repetir el procedimiento y comparar huellas.