Forensics: cadena de custodia y reproducibilidad
Guía técnica sobre preservación, cadena de custodia, integridad, documentación y reproducibilidad de evidencia durante una investigación forense digital.
FORENSIC EVIDENCE CHAIN
Visualización conceptual para reforzar la lectura. No sustituye el estándar, política o procedimiento que aplique a tu organización.
Preservar antes de analizar
La adquisición debe minimizar cambios sobre la fuente y registrar herramienta, versión, fecha, operador y método. Cuando aplica, hashes ayudan a comprobar integridad.
Cadena de custodia
Cada transferencia, acceso o cambio de responsable debe quedar documentado. El objetivo es responder quién tuvo qué evidencia, cuándo, por qué y bajo qué controles.
Notas reproducibles
Un analista debe registrar hipótesis, comandos, filtros, artefactos y resultados. Las conclusiones sin pasos verificables son difíciles de revisar o defender.
Separar hecho e interpretación
Un artefacto observado es un hecho; su significado puede requerir correlación. Distinguir ambos niveles reduce conclusiones prematuras y mejora la calidad del informe.