Cadena de custodia

En ciberseguridad, la cadena de custodia es el proceso documentado y controlado que mantiene la evidencia digital intacta y demostrable desde el momento en que se recoge hasta que se presenta en un entorno legal.

Es lo que hace que la evidencia digital sea fiable y admisible en procedimientos judiciales, investigaciones forenses y cualquier otra situación en la que alguien ajeno al equipo técnico tenga que confiar en ella.

Una cadena de custodia registra quién manejó cada elemento, cuándo, dónde y cómo. Ese rastro es lo que convierte un hallazgo técnico en algo que un tercero puede aceptar.

Qué implica

Documentación completa. Toda actividad que toca la evidencia queda por escrito, desde el descubrimiento hasta la presentación: quién la manejó, las fechas y ubicaciones relevantes, y los procedimientos utilizados.

Control riguroso. Hay que poder demostrar que la evidencia no se alteró, ni se dañó, ni se contaminó durante la recogida, el almacenamiento y el análisis.

Integridad preservada. La integridad tiene que aguantar a lo largo de toda la cadena. Cualquier hueco o alteración le resta valor a la evidencia como prueba.

Por qué importa

Admisibilidad legal. Los tribunales piden pruebas fiables, y la cadena de custodia es el marco que demuestra que la evidencia es lo que dice ser.

Investigaciones forenses. Cuando es la evidencia digital la que sostiene el caso, la cadena de custodia es lo que respalda los hallazgos con un proceso transparente y controlado.

Protección para todos los implicados. También protege a las partes: demuestra que nadie manipuló la evidencia para favorecer a una de ellas.

Los pasos clave

Identificación y etiquetado. Cada elemento de evidencia digital se identifica y se etiqueta con claridad en cuanto aparece, con fecha, hora y ubicación.

Registro detallado. Un registro continuo de cada interacción con la evidencia a lo largo del tiempo: cambios de posesión, traslados, análisis y almacenamiento.

Protección física y lógica. Contenedores sellados, almacenamiento restringido y control de acceso mientras la evidencia se manipula y se guarda.

Un ejemplo práctico

Una organización descubre un incidente de seguridad que implica cambios no autorizados sobre los datos de un servidor crítico.

Se llama al equipo de análisis forense digital y respuesta a incidentes (DFIR) para que investigue y recoja la evidencia.

El primer paso es identificar y etiquetar el servidor afectado, dejando anotadas la fecha y la hora del descubrimiento.

Se toma una imagen forense del servidor, que después se etiqueta y se almacena en un soporte seguro. Cada paso de la investigación, desde la recopilación de registros hasta el análisis forense, entra en el registro de cadena de custodia.

Si resulta que la evidencia importa para un procedimiento legal, la cadena se mantiene intacta al entregar el material al equipo jurídico de la organización o a las autoridades.

Cadena de custodia y análisis forense: qué hace cada uno

Las dos expresiones se usan como si significaran lo mismo, y describen partes distintas del mismo trabajo.

El análisis forense digital es la disciplina: recoger, preservar y analizar lo que queda en los sistemas afectados para reconstruir qué pasó, en qué orden y con qué identidad.

La cadena de custodia es el procedimiento que hace que esa prueba se sostenga fuera de la sala técnica: quién tuvo cada elemento, cuándo, y cómo demuestras que nadie lo alteró por el camino.

Puedes hacer análisis forense sin cadena de custodia. Te dirá qué pasó y te permitirá cerrar la vía de entrada, y no te va a sostener nada delante de un tercero. Por eso el hash de cada elemento se calcula en el momento de recogerlo y no después: es lo que te permite demostrar más tarde que la copia es idéntica al original.

Un aviso que sale de cómo va el trabajo en realidad, no de la teoría: lo que destruye la prueba casi nunca es el atacante, es la respuesta. Reconstruir el servidor afectado es la forma más rápida de volver al servicio y borra el único registro de por dónde entraron, así que la misma puerta sigue abierta la semana siguiente. Reiniciar para arreglar un síntoma tira la memoria, que es lo primero que desaparece.

En una frase: el análisis forense responde qué pasó, y la cadena de custodia es lo que hace que esa respuesta se sostenga.