Informática forense · Autoridades investigadoras

¿Cómo se evalúan los sellos de tiempo cuya semántica es desconocida o está poco documentada?

No todos los campos de tiempo están documentados de forma clara.

Solicitar información sin compromiso

Por qué esta cuestión es importante para las autoridades investigadoras

En las investigaciones avanzadas, rara vez se trata únicamente de determinar si existe un único artefacto. Lo decisivo es si la interpretación técnica es sólida, qué hipótesis contrarias existen y qué conclusiones no deben extraerse en este momento a partir de la base de datos disponible.

Enfoque técnico de investigación

Analizamos el rango de valores, el contexto, los datos comparativos y el comportamiento de la aplicación, y solo formulamos aquellas afirmaciones que puedan deducirse de forma fiable a partir de la estructura de datos.

Dónde está el límite de la expresión

No se debe sustituir una semántica poco clara por una traducción supuestamente plausible.

¿Por qué LanCologne?

El método LanCologne no se utiliza en investigaciones complejas con el fin de confirmar de la forma más eficaz posible una hipótesis de sospecha ya existente. Su función consiste en examinar de forma independiente una cuestión técnica concreta y evaluar, con el mismo criterio técnico, tanto los hallazgos incriminatorios como los exculpatorios.

La base de datos se documenta de forma inequívoca. En la medida en que sea técnicamente posible, el análisis se realiza a partir de copias de seguridad verificadas o de copias de trabajo adecuadas. En el caso de hallazgos relevantes para la toma de decisiones, no nos basamos únicamente en informes generados automáticamente. Se comprueban el origen, la lógica de generación y el contexto del sistema; en caso necesario, se lleva a cabo una validación basándose en los datos primarios o mediante un segundo método adecuado desde el punto de vista técnico.

Precisamente en casos complejos, resulta fundamental distinguir entre el dispositivo, la cuenta, la sesión, la acción del usuario y la persona física. Asimismo, se distingue entre constatación positiva, mera compatibilidad, falta de pruebas y exclusión técnica.

Los resultados se documentan de tal manera que los investigadores y los fiscales puedan comprender la conclusión principal sin necesidad de conocimientos forenses específicos. Al mismo tiempo, los fundamentos técnicos quedan documentados de forma reproducible para su posterior revisión por parte de otros peritos forenses, la defensa y el tribunal.

De la orden de investigación a una declaración fiable

1Delimitar con precisión el objeto de la investigación y el encargo de peritaje técnico.
2Formular una hipótesis de cargo, hipótesis contrarias que la refuten y posibles explicaciones técnicas alternativas.
3Documentar las pruebas, los datos de partida, la integridad y las lagunas conocidas.
4Identificar las fuentes primarias relevantes, así como las referencias a dispositivos, cuentas, Server y la nube.
5Analizar los artefactos relevantes para la toma de decisiones en el contexto de su origen y del sistema.
6Validar de forma independiente los resultados de los analizadores y las herramientas en caso de hallazgos críticos.
7Resolver de forma transparente los problemas de tiempo, sincronización y versiones, o documentarlos como incertidumbre residual.
8Evaluar los hallazgos a favor y en contra utilizando el mismo criterio técnico.
9Señalar expresamente los límites de la afirmación, las lagunas en los datos y las posibles explicaciones alternativas.
10Responder de forma clara a la pregunta de la investigación y garantizar que la respuesta sea verificable desde el punto de vista técnico.

Hallazgos a favor del diagnóstico, en contra del diagnóstico y inconclusos

La investigación no llega a una conclusión definitiva. Si varias fuentes fiables respaldan una hipótesis de la investigación, se explica su relación técnica. Si existen hallazgos contrarios o una explicación alternativa técnicamente válida, estos se documentan de forma equivalente. Si la base de datos no es suficiente, se señala expresamente la falta de pruebas.

Reproducibilidad y posterior revisión judicial

La idea principal se formula de forma comprensible para los investigadores y los fiscales. Al mismo tiempo, los fundamentos técnicos relevantes para la investigación se documentan de tal manera que otro perito forense informático cualificado pueda reproducir las conclusiones esenciales a partir de la misma base de datos. Esto facilita las consultas posteriores, las verificaciones cruzadas y una posible práctica de la prueba ante los tribunales.

LanCologne como perito forense informático externo independiente

Cuando una autoridad policial debe someter a un análisis en profundidad, independiente o reproducible, una cuestión digital compleja, LanCologne le presta su apoyo mediante una investigación objetiva y sin prejuicios. El objetivo principal es dar una respuesta sólida a la cuestión concreta de la investigación, incluyendo los resultados contrarios, los límites de las conclusiones y la verificabilidad técnica.

Marco jurídico

La dirección de la investigación y la valoración jurídica siguen siendo competencia de los órganos de persecución penal pertinentes. De conformidad con el artículo 160 del Código de Procedimiento Penal, la Fiscalía investiga los hechos y debe determinar tanto las circunstancias incriminatorias como las exculpatorias. El artículo 161 del Código de Procedimiento Penal regula la competencia general de la Fiscalía en materia de investigación; el artículo 163 del Código de Procedimiento Penal, las funciones de la policía en la fase de instrucción.

En principio, a los peritos se les aplican los artículos 72 y siguientes del Código de Procedimiento Penal. Según el artículo 161a, apartado 1, del Código de Procedimiento Penal, los peritos deben comparecer ante la Fiscalía cuando sean citados y presentar su informe pericial. El artículo 82 del Código de Procedimiento Penal regula la forma de presentación del dictamen en la fase de instrucción. El artículo 78 del Código de Procedimiento Penal se refiere a la supervisión judicial de la actividad del perito, en la medida en que dicha supervisión sea pertinente.

La incautación y el embargo se rigen, en particular, por los artículos 94 y 98 del Código de Procedimiento Penal. El artículo 110, apartado 3, del Código de Procedimiento Penal se refiere al examen de soportes de almacenamiento electrónicos y a la obtención de datos que puedan ser relevantes para la investigación. La admisibilidad, el alcance y la orden de las medidas de autoridad pública son competencia exclusiva de los órganos de persecución penal y los tribunales competentes.

De conformidad con el artículo 1, apartado 3, de la JVEG, la intervención solicitada por la policía u otras autoridades encargadas de la persecución penal, por encargo o con la autorización previa de la Fiscalía, tiene el mismo valor, a efectos de la remuneración, que una intervención solicitada directamente por la Fiscalía.

Preguntas frecuentes

¿Cómo se evalúan los sellos de tiempo cuya semántica es desconocida o está poco documentada?+
En las investigaciones avanzadas, rara vez se trata únicamente de determinar si existe un único artefacto. Lo decisivo es si la interpretación técnica es sólida, qué hipótesis contrarias existen y qué conclusiones no deben extraerse en este momento a partir de la base de datos disponible.
¿Cómo se lleva a cabo en la práctica una inspección técnica de este tipo?+
Analizamos el rango de valores, el contexto, los datos comparativos y el comportamiento de la aplicación, y solo formulamos aquellas afirmaciones que puedan deducirse de forma fiable a partir de la estructura de datos.
¿El análisis siempre arroja un resultado inequívoco, ya sea a favor o en contra?+
No se debe sustituir una semántica poco clara por una traducción supuestamente plausible.
¿Existe algún fundamento jurídico para ello?+
La dirección de la investigación y la valoración jurídica siguen siendo competencia de los órganos de persecución penal competentes. De conformidad con el artículo 160 del Código de Procedimiento Penal (StPO), la Fiscalía investiga los hechos y debe determinar tanto las circunstancias agravantes como las atenuantes. El artículo 161 del StPO regula la facultad general de investigación de la Fiscalía; el artículo 163 del StPO, las funciones de la policía en la fase de instrucción. En lo que respecta a los peritos, se aplican, en principio, los artículos 72 y siguientes del Código de Procedimiento Penal. Según el artículo 161a, apartado 1, del Código de Procedimiento Penal, los peritos deben comparecer ante la Fiscalía cuando sean citados y presentar su informe pericial. El artículo 82 del Código de Procedimiento Penal regula la forma de presentación de los dictámenes en la fase previa al juicio. El artículo 78 del Código de Procedimiento Penal se refiere a la supervisión judicial de la actividad del perito, en la medida en que dicha supervisión sea pertinente. La incautación y el embargo se rigen, en particular, por los artículos 94 y 98 del Código de Procedimiento Penal. El artículo 110, apartado 3, del Código de Procedimiento Penal (StPO) se refiere al examen de soportes de almacenamiento electrónicos y a la obtención de datos que puedan ser relevantes para la investigación. La admisibilidad, el alcance y la orden de las medidas de autoridad pública son competencia exclusiva de los órganos de persecución penal y los tribunales competentes. De conformidad con el artículo 1, apartado 3, de la Ley de Honorarios de los Peritos Judiciales (JVEG), la intervención solicitada por la policía u otras autoridades de persecución penal por encargo o con la aprobación previa de la Fiscalía equivale, a efectos de la remuneración, a una intervención solicitada por la propia Fiscalía.

LanCologne – Informática forense para las fuerzas del orden

¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.

Ponte en contacto con nosotros ahora