Informática forense · Tribunales

¿Se puede determinar qué dispositivo generó inicialmente un cambio sincronizado?

Cuando hay varios dispositivos sincronizados, el mismo contenido modificado puede aparecer casi al mismo tiempo. Para determinar cuál es el dispositivo de origen, no basta con comparar los archivos visibles.

Solicitar información sin compromiso

Para el tribunal, no es determinante el número de programas que se utilicen. Lo que sí es determinante es qué hecho técnico puede determinarse de forma fehaciente a partir de la base de datos disponible, cómo se llega a dicha conclusión y cuáles son los límites de su interpretación.

La cuestión probatoria concreta

Comprobamos la información sobre cambios específicos de cada dispositivo, los historiales locales, los datos de versión, los estados de sincronización y, en su caso, los eventos del servidor.

Por qué el contexto técnico es decisivo

Las huellas digitales no surgen de forma aislada. El sistema operativo, la aplicación, el servicio en la nube, la red y el contexto del usuario pueden generar el mismo hallazgo visible de diferentes maneras. Por ello, una sola marca de tiempo, una entrada de registro o un valor de base de datos no se consideran una conclusión definitiva sin examinar la lógica de su origen. En la medida en que sea necesario, se correlacionan entre sí varias huellas independientes entre sí.

Dónde está el límite de la expresión

Los sistemas de sincronización pueden abstraer o sobrescribir la información sobre la hora y el origen. Por lo tanto, no siempre es posible determinar de forma inequívoca el origen.

Cómo aborda LanCologne la cuestión de la prueba

En LanCologne, la investigación forense informática judicial comienza por la cuestión probatoria y no por un programa de análisis concreto. En primer lugar, se determina qué hecho técnico hay que aclarar, qué fuentes de datos son relevantes a tal fin y qué explicaciones alternativas deben examinarse seriamente.

Se documentan los datos de partida y las pruebas. En la medida en que sea técnicamente posible, el análisis se lleva a cabo sobre copias de seguridad forenses verificadas o copias de trabajo adecuadas. Las coincidencias generadas automáticamente no se aceptan sin comprobar cuando se trata de cuestiones relevantes para la toma de decisiones. Son determinantes el origen, la lógica de generación y el contexto del artefacto en cuestión. Los hallazgos fundamentales se verifican, en caso necesario, a partir de los datos subyacentes o mediante un segundo método adecuado desde el punto de vista técnico.

En el informe pericial se distinguen los hechos constatados, la interpretación técnica y la conclusión. Igualmente importante es el límite de las afirmaciones: ¿qué está técnicamente demostrado? ¿Qué se limita a estar respaldado? ¿Qué datos contrarios existen? ¿Qué explicación alternativa sigue siendo posible? ¿Qué no se puede determinar a partir de los datos disponibles?

La parte principal está redactada de forma que resulte comprensible para los jueces y demás partes implicadas en el procedimiento que no cuenten con conocimientos especializados en informática forense. Se mantiene la verificabilidad técnica. Las fuentes de datos, la información sobre la integridad, los artefactos y los pasos de la investigación, que son esenciales para una verificación independiente, se documentan de forma clara y comprensible en una sección técnica.

Del encargo a una afirmación sólida

Resultado positivo, resultado negativo y ausencia de detección

Un dictamen pericial debe mantenerse abierto a cualquier resultado. Si los datos respaldan una hipótesis, se explica en qué se basa dicho respaldo. Si hay indicios sólidos que contradicen la hipótesis, estos también se exponen. Si la base de datos no es suficiente, se señala expresamente la falta de pruebas. No se construye ninguna afirmación aparentemente segura a partir de una laguna en los datos.

Comprensible para el tribunal; verificable para el perito de la parte contraria

Los aspectos técnicos fundamentales se explican en un lenguaje comprensible. Los términos técnicos solo se utilizan cuando es necesario y, a continuación, se definen. Al mismo tiempo, los fundamentos técnicos esenciales se documentan de tal manera que un perito forense informático independiente pueda comprender el razonamiento partiendo de la misma base de datos y, en su caso, reproducirlo.

Clasificación metodológica

En el ámbito de la informática forense judicial no existe un catálogo legal de programas de análisis obligatorios. Los aspectos técnicos esenciales son una base de datos controlada, la integridad, los pasos de la investigación documentados, conclusiones verificables y la posibilidad de una verificación independiente.

El módulo DER.2.2 de la Protección Básica del BSI, „Prevención para la informática forense“, contiene principios básicos útiles para prepararse de cara a futuras investigaciones forenses informáticas y para la recogida de pruebas en caso de incidentes de seguridad informática. Sin embargo, no constituye en modo alguno un conjunto de normas para investigaciones forenses informáticas en el ámbito de los delitos; el análisis forense propiamente dicho tampoco forma parte del objeto de este módulo. Por lo tanto, no se presenta como una norma forense en el ámbito del proceso penal.

LanCologne como perito independiente en tecnologías de la información

Cuando un tribunal necesita que se aclare técnicamente una cuestión concreta relacionada con pruebas digitales, analizamos la base de datos disponible de forma independiente y sin prejuicios. El objetivo no es obtener el mayor número posible de resultados técnicos, sino una respuesta fundamentada desde el punto de vista técnico: comprensible para el tribunal, transparente en su razonamiento y técnicamente verificable.

En lo que respecta a la prueba pericial en los procedimientos civiles, son de aplicación, en particular, los artículos 402 y siguientes del Código de Procedimiento Civil (ZPO). De conformidad con el artículo 404a del ZPO, el tribunal dirige la actividad del perito y puede determinar la naturaleza y el alcance de la misma. En caso de controversia sobre los hechos, el tribunal determina qué hechos deben servir de base para el dictamen pericial. El artículo 407a del ZPO obliga al perito, entre otras cosas, a comprobar sin demora si el encargo entra dentro de su ámbito de especialización; las dudas sobre el contenido y el alcance del encargo deben ser aclaradas por el tribunal. El informe pericial escrito y las posibles aclaraciones o complementaciones se regulan en el artículo 411 del ZPO. La valoración final del informe pericial, junto con el resultado global de la práctica de la prueba, sigue siendo competencia del tribunal (artículo 286 del ZPO).

En el caso de los peritajes en el proceso penal, se aplican a los peritos los artículos 72 y siguientes del Código de Procedimiento Penal (StPO); el artículo 78 del StPO se refiere a la supervisión judicial de la actividad del perito. Las disposiciones aplicables en cada procedimiento concreto dependen del tipo de procedimiento y del encargo. El peritaje informático forense no sustituye a una valoración jurídica.

Preguntas frecuentes

LanCologne – Informática forense para los tribunales

¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.

Ponte en contacto con nosotros ahora