01
Encuadre probatorio
Antes de tocar un dispositivo: qué hecho hay que acreditar, en qué materia, ante qué órgano, con qué plazo y contra qué teoría de la contraparte. Se define el objeto de la pericial y se acota el universo de fuentes.
Produce: Acta de encuadre con el objeto, las hipótesis a verificar, las fuentes identificadas y los límites del encargo.
CNPCF arts. 300 a 307 · CNPCF art. 349 · ISO/IEC 27043
Si se omite: se adquiere de más y se prueba de menos. Es la fase que ningún proveedor puramente técnico ejecuta, porque exige saber qué exige el expediente.
02
Identificación y preservación
Localización de las fuentes, evaluación de su volatilidad y aislamiento. Se detiene todo lo que pueda sobrescribir: rotación de bitácoras, políticas de retención, sincronizaciones y actualizaciones automáticas.
Produce: Inventario de fuentes con estado, ubicación y riesgo de pérdida, e instrucción escrita de suspensión de borrado.
ISO/IEC 27037 · RFC 3227
Si se omite: la evidencia caduca sola. Las bitácoras que prueban el acceso se rotan a los treinta días y nadie lo advierte hasta que se ofrece la prueba, seis meses después.
03
Adquisición
Copia forense con bloqueo de escritura, cálculo de SHA-256 en el origen y en la copia, verificación de coincidencia y levantamiento del acta circunstanciada, con testigo o fedatario cuando el caso lo amerita.
Produce: Imagen forense, valores hash, acta circunstanciada de adquisición y respaldo redundante.
ISO/IEC 27037 · ISO/IEC 27041
Si se omite: no hay forma de acreditar la integridad que exige el artículo 350, y todo el análisis posterior queda sin cimiento. Es el defecto más frecuente en los dictámenes que se refutan.
04
Custodia
Registro de cada transferencia, acceso y verificación del material, con recálculo de hash en cada traspaso, y resguardo con control de acceso y bitácora.
Produce: Registro de cadena de custodia y constancia de conservación emitida por prestador de servicios de certificación acreditado.
ISO/IEC 27037 · NOM-151-SCFI-2016
Si se omite: cualquier hueco temporal sin registro es la pregunta que abre el contrainterrogatorio. No hay que probar que el material se alteró: basta con que no se pueda probar que no.
05
Análisis
Formulación de la hipótesis y de su contrahipótesis. Operaciones documentadas paso a paso, con herramienta y versión, de modo que un tercero con el mismo material llegue al mismo resultado. Separación estricta entre hallazgo y conclusión.
Produce: Bitácora de operaciones, hallazgos con su soporte y descarte razonado de las explicaciones alternativas.
ISO/IEC 27042 · NIST SP 800-86
Si se omite: el dictamen es una tesis, no una prueba. Un perito que no examinó la explicación alternativa ya perdió la audiencia, aunque tenga razón.
06
Dictamen
Redacción con objeto, material examinado, método, operaciones, hallazgos, razonamiento, conclusiones y anexos, con respuesta punto por punto al cuestionario y conclusiones acotadas a lo que la evidencia soporta.
Produce: Dictamen firmado, anexos técnicos y glosario para el juzgador.
CNPCF arts. 300 a 307 · CNPCF art. 343 · CNPCF art. 349
Si se omite: el juzgador valora por libre convicción lo que entendió, no lo que se escribió. Un dictamen impecable e ilegible vale lo mismo que uno equivocado.
07
Sostenimiento
Comparecencia a la audiencia de desahogo, respuesta a repreguntas, aclaraciones y ampliación, con preparación previa del litigante sobre qué preguntar y qué esperar.
Produce: Constancia de desahogo y, cuando procede, ampliación del dictamen.
CNPCF arts. 300 a 307
Si se omite: el dictamen queda huérfano. Va incluido en el alcance de todos mis dictámenes, y lo digo porque en el mercado no siempre lo está.