Informática forense · Tribunales

¿Cómo debe evaluarse una prueba digital que ya se había seguido utilizando antes de que se realizara la copia de seguridad forense?

Los ordenadores y los teléfonos inteligentes ya modifican sus datos con el uso habitual, los procesos del sistema y la sincronización. Si un dispositivo se ha seguido utilizando tras el hecho en cuestión, esto debe tenerse en cuenta en la valoración de las pruebas.

Solicitar información sin compromiso

Para el tribunal no es relevante el número de programas de análisis que se hayan utilizado. Lo decisivo es qué hecho técnico concreto se puede determinar de forma fiable a partir de los datos disponibles, cómo se llega a esa conclusión y cuáles son sus límites.

La cuestión probatoria concreta

Intentamos determinar el periodo y el tipo de uso posterior y comprobamos qué elementos relevantes pueden haber sido modificados, sobrescritos o generados de nuevo como consecuencia de ello.

Por qué una sola pista digital rara vez es suficiente

Los artefactos digitales se generan en sistemas que cuentan con sus propios mecanismos de almacenamiento, sincronización y registro. Por lo tanto, una sola marca de tiempo, una entrada de registro o un valor de base de datos no se toma como conclusión definitiva sin su contexto. En la medida en que lo requiera la cuestión probatoria, se correlacionan varias trazas independientes entre sí y se comprueban hipótesis alternativas técnicamente plausibles.

Dónde está el límite de la expresión

El uso posterior no hace que un dispositivo pierda automáticamente su valor. Sin embargo, puede limitar ciertas conclusiones y debe tenerse en cuenta de forma transparente en la valoración.

Cómo aborda LanCologne la cuestión de la prueba

En el método LanCologne, el análisis comienza por la cuestión probatoria judicial y no por un programa de análisis concreto. En primer lugar, se aclara qué hecho técnico se debe determinar, qué fuentes de datos son relevantes para ello y qué hipótesis contrarias deben tenerse en cuenta.

Las pruebas y los datos de partida se documentan de forma inequívoca. En la medida en que sea técnicamente posible, el análisis se lleva a cabo sobre copias de seguridad forenses verificadas o copias de trabajo adecuadas. Las coincidencias relevantes para la toma de decisiones no se aceptan por el mero hecho de que las muestre un programa informático. Comprobamos el origen, la lógica de generación y el contexto del artefacto y, en caso necesario, verificamos los hallazgos clave basándonos en los datos subyacentes o en un segundo método técnicamente adecuado.

En el informe pericial se distinguen claramente los hechos constatados, la interpretación técnica y las conclusiones. Asimismo, se describen con igual claridad los límites de las afirmaciones: ¿qué se puede demostrar? ¿Qué se limita a estar respaldado? ¿Qué datos contradictorios existen? ¿Qué queda sin aclarar? La falta de pruebas no se reinterpreta como una afirmación aparentemente segura.

La parte principal se redacta de tal forma que un juez sin conocimientos especializados en informática forense pueda comprender el razonamiento. Se mantiene la verificabilidad técnica. Las fuentes de datos relevantes para la verificación, la información sobre la integridad, los artefactos y los pasos de la investigación se documentan de tal manera que un perito forense informático independiente pueda comprender las conclusiones fundamentales para un posible contrainforme.

De la orden judicial a una declaración fidedigna

Resultados positivos, resultados negativos y ausencia de detección

Un resultado pericial debe estar abierto a cualquier conclusión. Si los datos confirman la hipótesis que se está analizando, se explica en qué se basa dicha confirmación. Si hay indicios sólidos que contradicen dicha hipótesis, también se exponen. Si la base de datos no es suficiente para llegar a una conclusión segura, se califica como «falta de pruebas» o como «cuestión técnica sin resolver». Es precisamente esta distinción la que evita que una laguna en los datos dé lugar a una afirmación aparentemente segura.

Comprensible para el tribunal; técnicamente verificable para un perito de la parte contraria

Los aspectos técnicos fundamentales se explican en un lenguaje comprensible. Los términos técnicos solo se utilizan cuando son necesarios y, a continuación, se definen. Al mismo tiempo, se mantienen los fundamentos técnicos esenciales: fuentes de datos analizadas, artefactos relevantes, información sobre la integridad, referencias temporales y pasos metodológicos. Un perito informático forense ajeno al procedimiento debe poder comprobar la deducción sin que el texto principal se convierta, ante el tribunal, en una recopilación de datos técnicos sin procesar.

Clasificación metodológica

En el ámbito de la informática forense judicial no existe un catálogo legal de programas de análisis obligatorios. Desde el punto de vista técnico, son fundamentales una base de datos controlada, la integridad, los pasos de la investigación documentados, unas conclusiones verificables y la posibilidad de una verificación independiente.

El módulo DER.2.2 de la Protección Básica del BSI, „Prevención para la informática forense“, contiene principios básicos útiles para prepararse de cara a futuras investigaciones forenses y para la recogida de pruebas en caso de incidentes de seguridad informática. Sin embargo, no se trata de una norma forense en el ámbito del proceso penal; el análisis forense propiamente dicho no es objeto de este módulo. Esta distinción se tiene en cuenta de forma expresa.

LanCologne como perito independiente en tecnologías de la información

Cuando un tribunal necesita que se aclare desde un punto de vista técnico una cuestión concreta relacionada con las pruebas digitales, examinamos la base de datos disponible de forma independiente y sin prejuicios. El objetivo no es recopilar el mayor número posible de resultados técnicos, sino ofrecer una respuesta fundamentada desde el punto de vista técnico: comprensible para el tribunal, transparente en su razonamiento y técnicamente verificable.

En lo que respecta a la prueba pericial en los procedimientos civiles, son especialmente relevantes los artículos 402 y siguientes del Código de Procedimiento Civil (ZPO). El artículo 403 del ZPO se refiere a la designación de los aspectos que deben ser objeto de peritaje. Según el artículo 404a del ZPO, el tribunal dirige la actividad del perito y puede determinar la naturaleza y el alcance de su labor. El artículo 407a del ZPO establece las obligaciones del perito, entre otras, la de examinar su propio ámbito de especialización y aclarar cualquier duda sobre el contenido y el alcance del encargo. El artículo 411 del ZPO regula el informe pericial escrito, así como su explicación y complementación. La valoración del informe pericial, junto con el resto de las pruebas, sigue siendo competencia del tribunal (artículo 286 del ZPO).

En el caso de los dictámenes periciales en el proceso penal, se aplican a los peritos los artículos 72 y siguientes del Código de Procedimiento Penal. Las disposiciones aplicables en cada procedimiento concreto dependen del encargo y del tipo de procedimiento. El dictamen pericial informático forense no sustituye ni a la valoración jurídica ni a la apreciación judicial de las pruebas.

Preguntas frecuentes

LanCologne – Informática forense para los tribunales

¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.

Ponte en contacto con nosotros ahora