Investigar no es solo encontrar la causa
Cuando una organización sufre un incidente de ciberseguridad, la prioridad inicial suele ser contenerlo y recuperar la actividad. Sin embargo, también es necesario entender qué ha ocurrido: cuándo comenzó, qué sistemas se vieron afectados, qué cuentas se utilizaron, qué datos pudieron consultarse y si el atacante mantiene algún acceso.
La forensia digital proporciona métodos para recopilar, conservar, analizar y comunicar información procedente de dispositivos, servidores, aplicaciones, redes, servicios en la nube y otros sistemas tecnológicos. Su objetivo no es únicamente identificar al responsable. También ayuda a delimitar el impacto, corregir debilidades, responder a obligaciones internas y externas y tomar decisiones basadas en hechos.
En este contexto, la cadena de custodia es el registro que permite demostrar cómo se ha gestionado una evidencia desde su identificación hasta su archivo, análisis, transferencia o eliminación autorizada. Sin ella, incluso un dato técnicamente interesante puede perder valor porque no queda claro de dónde procede, quién lo manipuló o si pudo alterarse.
Una investigación sólida necesita tanto buenos datos como un proceso capaz de demostrar que esos datos son fiables.
Qué aporta la forensia digital a una organización
La forensia digital no debe reservarse exclusivamente para casos que acabarán en los tribunales. Bien utilizada, aporta valor en distintas situaciones:
- Determinar el alcance real de una intrusión o una filtración.
- Identificar el vector inicial y las técnicas empleadas a nivel defensivo.
- Confirmar si una cuenta, equipo o aplicación fue utilizada de forma indebida.
- Establecer una cronología razonable de los hechos.
- Separar indicios, hechos confirmados e hipótesis pendientes de validar.
- Apoyar la recuperación y la mejora de controles.
- Proporcionar información estructurada para asesoramiento legal, comunicación y cumplimiento.
Por ejemplo, ante una sospecha de acceso no autorizado a una cuenta corporativa, no basta con revisar el último inicio de sesión. Puede ser necesario correlacionar registros de identidad, actividad de correo, cambios de configuración, conexiones desde ubicaciones inusuales, accesos a aplicaciones y alertas de seguridad. Cada fuente puede tener distinta precisión, retención y zona horaria.
La investigación también debe contemplar la posibilidad de que no exista una respuesta concluyente. Un análisis profesional explica qué se ha observado, qué se puede sostener con evidencias y qué limitaciones permanecen. Presentar una hipótesis como un hecho puede llevar a decisiones incorrectas y dañar la credibilidad del informe.
La cadena de custodia, más allá de una firma
La cadena de custodia documenta el recorrido de cada evidencia. Debe permitir responder, como mínimo, a estas preguntas:
- ¿Qué se recogió?
- ¿De qué sistema, dispositivo o cuenta procede?
- ¿Cuándo y por qué se obtuvo?
- ¿Quién realizó la adquisición?
- ¿Con qué herramienta y procedimiento se trabajó?
- ¿Dónde se almacenó?
- ¿Quién tuvo acceso posteriormente?
- ¿Se transfirió, copió, transformó o analizó?
- ¿Cómo se verificó su integridad?
No se trata de llenar formularios de manera mecánica. El registro debe ser suficientemente detallado para que otra persona cualificada pueda comprender el proceso y detectar posibles problemas. También debe distinguir entre el original, las copias de trabajo y los resultados derivados del análisis.
La integridad suele reforzarse mediante funciones hash u otros mecanismos técnicos de verificación. Estas comprobaciones no demuestran por sí solas que una evidencia sea auténtica ni explican su contexto, pero ayudan a detectar cambios accidentales o no autorizados en un archivo o imagen forense.
La organización debe definir quién puede custodiar evidencias, qué repositorios están autorizados, cómo se controla el acceso y cuánto tiempo deben conservarse. Estas decisiones pueden depender del tipo de incidente, la información tratada, las políticas internas y las obligaciones aplicables.
Qué debe prepararse antes del incidente
La mejor cadena de custodia se diseña antes de necesitarla. Esperar a que ocurra un incidente para decidir qué registrar, quién aprueba una adquisición o dónde almacenar los datos introduce retrasos y riesgos.
Un programa básico de preparación debería contemplar:
- Un procedimiento de respuesta forense integrado en el plan de respuesta a incidentes.
- Roles claros para seguridad, sistemas, legal, privacidad, recursos humanos y dirección.
- Criterios para activar una investigación formal.
- Fuentes de registros identificadas, con responsables y periodos de retención conocidos.
- Herramientas y repositorios aprobados para adquirir y conservar evidencias.
- Plantillas para actas, transferencias, inventarios e informes.
- Proveedores externos previamente evaluados para casos que requieran capacidades especializadas.
- Formación práctica y ejercicios controlados.
También es importante conocer las limitaciones técnicas. Un registro que solo se conserva durante unos días puede desaparecer antes de que se active la investigación. Una plataforma que no sincroniza correctamente la hora puede dificultar la cronología. Un servicio en la nube puede requerir solicitudes específicas para obtener determinados datos o metadatos.
La preparación no implica almacenar indefinidamente toda la actividad de la organización. El objetivo es disponer de una capacidad razonable, proporcional al riesgo y alineada con las necesidades de investigación, privacidad y cumplimiento.
Cómo preservar evidencias sin empeorar la situación
Durante un incidente, actuar con prisa puede destruir información útil. Reiniciar un equipo, desinstalar una aplicación, borrar un buzón, restaurar una máquina o modificar una cuenta puede eliminar rastros relevantes. Eso no significa que nunca deban realizarse estas acciones: la contención y la continuidad pueden tener prioridad. Significa que las decisiones deben coordinarse y quedar documentadas.
Antes de intervenir, siempre que las circunstancias lo permitan, conviene valorar:
- Qué información puede perderse si se apaga, desconecta o modifica el sistema.
- Si la evidencia está relacionada con una amenaza activa.
- Qué medida reduce el riesgo sin destruir datos innecesariamente.
- Quién autoriza la actuación y quién la ejecuta.
- Qué información debe registrarse antes, durante y después de la intervención.
La organización debe evitar que personal no autorizado copie archivos en dispositivos personales, envíe registros por canales no aprobados o analice evidencias originales sin control. Las copias de trabajo deben generarse mediante procedimientos definidos y conservar una relación clara con el original.
Cuando se utilicen servicios externos, el contrato y el procedimiento de actuación deberían aclarar responsabilidades, acceso a la información, confidencialidad, conservación, devolución y eliminación de datos. La organización sigue necesitando comprender qué se ha hecho, aunque delegue parte del análisis.
Documentar la cronología y separar hechos de interpretaciones
Una buena investigación produce una línea temporal comprensible. Para construirla, se comparan eventos procedentes de varias fuentes: identidad, correo, endpoints, red, aplicaciones, servicios cloud y sistemas de gestión de incidentes.
Las horas deben normalizarse y documentar su zona horaria. También conviene anotar las posibles diferencias entre la hora registrada por un dispositivo y la hora real de referencia. Una cronología precisa puede revelar que dos eventos aparentemente relacionados ocurrieron en momentos incompatibles, o que una acción atribuida a una cuenta fue realizada antes de que se produjera el supuesto acceso.
El informe debería diferenciar con claridad:
- Hechos observados directamente en una fuente.
- Inferencias razonables basadas en varias evidencias.
- Hipótesis que todavía necesitan confirmación.
- Información que no pudo obtenerse o que ya no estaba disponible.
Esta separación mejora la calidad técnica y evita conclusiones excesivas. También ayuda a que dirección, asesoría jurídica y responsables de negocio comprendan el nivel de certeza de cada afirmación.
Coordinación entre tecnología, legal y negocio
La forensia digital no es una actividad aislada del equipo técnico. Puede afectar a datos personales, comunicaciones, secretos empresariales, relaciones laborales, clientes y proveedores. Por ello, la investigación debe contar con la participación de las funciones adecuadas, respetando sus responsabilidades.
El equipo técnico puede determinar qué registros existen y cómo adquirirlos. Legal y privacidad pueden orientar sobre autorizaciones, proporcionalidad, conservación y comunicación. Recursos humanos puede intervenir cuando hay personal implicado, siguiendo los procedimientos internos aplicables. Dirección debe decidir sobre prioridades, riesgos aceptables y recursos.
Esta coordinación también evita errores de comunicación. Un informe técnico interno puede no ser adecuado para compartirlo sin revisión con clientes, autoridades u otras partes. Antes de distribuir resultados, debe definirse quién puede recibirlos, con qué propósito y qué información sensible debe protegerse.
Errores frecuentes que debilitan una investigación
Algunas deficiencias aparecen de forma recurrente:
- Empezar a analizar sin definir el alcance ni los objetivos.
- No registrar quién aprobó cada actuación.
- Trabajar directamente sobre la evidencia original.
- Mezclar archivos originales, copias y resultados sin identificarlos.
- Ignorar las zonas horarias o la sincronización de relojes.
- Confiar en una única fuente de registros.
- Conservar datos sin controles de acceso ni inventario.
- Compartir capturas de pantalla sin contexto ni metadatos relevantes.
- Redactar conclusiones más contundentes que las evidencias disponibles.
- No documentar las limitaciones del análisis.
Corregir estos problemas requiere procedimientos sencillos y disciplina operativa, no necesariamente herramientas costosas. Un inventario bien mantenido, una plantilla de adquisición, un repositorio protegido y una revisión por otra persona cualificada pueden mejorar notablemente la trazabilidad.
Acciones concretas para mejorar la capacidad forense
Las organizaciones pueden avanzar de forma progresiva:
- Designar un responsable de coordinación forense y sus sustitutos.
- Crear un procedimiento de cadena de custodia revisado por las áreas implicadas.
- Inventariar las fuentes de registros críticas y sus periodos de conservación.
- Establecer un repositorio con acceso restringido, registro de actividad y copias protegidas.
- Definir cuándo debe intervenir un proveedor especializado.
- Preparar plantillas para evidencias, transferencias, cronologías e informes.
- Ejecutar un ejercicio de escritorio sobre un caso ficticio.
- Revisar después del ejercicio qué datos faltaban y qué decisiones no estaban claras.
- Integrar las lecciones aprendidas en controles, formación y planes de respuesta.
La forensia digital no garantiza por sí sola una investigación perfecta ni elimina la incertidumbre. Sí permite reducir improvisaciones, preservar mejor la información disponible y tomar decisiones con una base más sólida. En un incidente, la capacidad de explicar qué ocurrió es importante; la capacidad de demostrar cómo se sabe puede ser decisiva.
