Preservar sin vulnerar derechos

Hay dos pasos que se confunden con facilidad. Preservar es hacer una copia íntegra y verificable de la evidencia para que no cambie ni se pierda. Analizar es abrirla y leer su contenido. El primero suele ser urgente y poco invasivo; el segundo afecta la privacidad de la persona y requiere su propia autorización.

Una imagen forense del equipo de trabajo contiene todo lo que había en el disco, incluidas cosas personales que la persona dejó allí. Tener la imagen no autoriza a recorrerla: la autorización de copiar y la de analizar son dos firmas distintas, y la segunda se pide con un motivo concreto.

Al cerrar el día de trabajo se compara cada acción con la autorización: ¿el elemento estaba autorizado?, ¿la acción era de las permitidas para ese elemento?, ¿se cumplieron las condiciones? Es una revisión mecánica pero decisiva, porque cualquier acción fuera de lo firmado es un hallazgo del propio equipo de respuesta.

La tabla autorizacion tiene cinco elementos con su permiso y sus condiciones; la tabla acciones, lo que se hizo en orden. Una de ellas usa una credencial que estaba guardada en el equipo para abrir una cuenta que la autorización excluye con nombre.

El número de acciones fuera de alcance importa porque se declara: va al acta, a quien dirige la investigación y a la asesoría jurídica. No se cuenta para castigar a nadie del equipo, sino para decidir qué evidencia queda en cuarentena y qué se puede seguir usando.

Se cuentan las acciones cuya condición o elemento no está cubierto por la autorización: sea porque el elemento está excluido, sea porque la acción va más allá de lo que la condición permite.

La cadena de custodia es el registro de quién tuvo la evidencia, cuándo y en qué estado. Para que valga debe estar completa: cada traspaso lleva la firma de quien entrega y la de quien recibe, con la hora. Un eslabón sin firma permite que alguien dude de la integridad de todo lo que viene después.

En la tabla custodia cada fila es un elemento y su traspaso. Se busca el que no tiene a quien lo recibió.

Cuando se descubre que una acción salió del límite, hay un impulso comprensible de «aprovechar» lo visto: al fin y al cabo ya se leyó. Es la peor salida. Lo obtenido sin autorización se declara, se aísla sin usarlo ni copiarlo y se deja que la asesoría jurídica decida qué hacer con ello; el análisis que sigue se hace con evidencia limpia.

Ocultarlo no hace desaparecer el problema: si aparece después, convierte un error del equipo en una falta de honestidad.