Qué se documenta y qué se puede afirmar

Cada hallazgo se documenta con una ficha corta y siempre igual: qué es (el archivo y su ruta), cómo se vio (la prueba aplicada y su resultado), cuándo y quién la aplicó, la huella de la copia sobre la que se trabajó, y el límite (qué no se pudo comprobar). La ficha no interpreta: describe. La interpretación va aparte y con una etiqueta de grado de certeza.

Con eso, otra persona repite la prueba y obtiene lo mismo. Sin eso, el hallazgo es una opinión.

Abre la estación. El borrador del revisor tiene cinco afirmaciones, de C1 a C5. Tú cuentas con las fichas y con metodos-aplicados.txt, que dice qué se hizo y qué no. Compara cada línea con la evidencia, y detente en la que más fácilmente se cuela en un informe: la que afirma algo que ninguna prueba cubre.

Hay una diferencia entre «este archivo está en este equipo» y «esta persona lo puso ahí para ocultar algo». Lo primero se comprueba con la ruta, las fechas y la cuenta que lo creó. Lo segundo es una atribución de intención, y ninguna prueba técnica de este módulo la da. El informe describe hechos técnicos y deja la valoración de la conducta a quien corresponde.

Cada prueba tiene un alcance. Si se revisaron las firmas, los tamaños y los flujos, y no se hizo ningún análisis estadístico profundo de las imágenes, el informe tiene que decir justo eso. «No se halló» es un hecho sobre la búsqueda; «no existe» es una afirmación sobre el equipo, y la búsqueda casi nunca alcanza para hacerla.