Producir la prueba · A1
Aseguramiento y preservación de evidencia digital
Preservar el material antes de que exista expediente, que es cuando todavía se puede hacer bien.
La adquisición y el resguardo de la evidencia digital con método documentado, antes de que haya juicio y antes de que alguien la toque. No incluye análisis: preserva, no interpreta.
Es el servicio que decide el resultado del caso, y el que nadie en el mercado vende como línea autónoma.
- Renuncia o despido de alguien con acceso privilegiado, y el equipo aún no se ha reasignado.
- Sospecha de fraude interno, antes de denunciar y antes de que la persona lo advierta.
- Un incidente en curso: las primeras horas deciden qué se podrá probar después.
- Una auditoría que ya se ve que va a terminar en litigio.
- Acta circunstanciada de adquisición con lugar, hora, personas, soporte, herramienta, versión y modo de bloqueo de escritura.
- Imagen forense con valores SHA-256 verificados en origen y en copia.
- Registro de cadena de custodia, sin líneas en blanco ni huecos temporales.
- Constancia de conservación conforme a la NOM-151-SCFI-2016 cuando procede.
- Resguardo del acervo con control de acceso y bitácora.
Fases del método que aplican: encuadre probatorio, identificación y preservación, adquisición, custodia, análisis, dictamen, sostenimiento. Ver el método completo.
- ISO/IEC 27037 — Identificación, recolección, adquisición y preservación de evidencia digital.
- ISO/IEC 27041 — Garantía de idoneidad y adecuación de los métodos de investigación.
- ISO/IEC 27042 — Análisis e interpretación de la evidencia digital.
- ISO/IEC 27043 — Principios y procesos de investigación de incidentes.
- NOM-151-SCFI-2016 — Requisitos para la conservación de mensajes de datos y digitalización de documentos.
- RFC 3227 — Directrices para la recolección y archivo de evidencia. Aporta el orden de volatilidad: qué se captura primero porque desaparece antes.
- NIST SP 800-86 — Guía para integrar técnicas forenses en la respuesta a incidentes.
- CNPCF art. 343 — Valoración de la prueba por libre convicción, conforme a la lógica y la experiencia, con motivación racional individual y conjunta.
Plazo típico: De 24 horas a 2 semanas, según volumen y dispersión de fuentes.
- Acceso físico o remoto al material, y con qué autorización.
- Instrucción escrita para suspender borrados, rotaciones y sincronizaciones.
- Quién más ha tocado el material y cuándo.
No incluye análisis ni conclusiones: este servicio preserva, no interpreta. No recupera lo que ya se sobrescribió, porque hay un límite físico que ninguna metodología salva. Y no sustituye la denuncia, la notificación regulatoria ni la decisión de litigar: eso lo decides tú, con mejor material del que tendrías sin esto.
¿Puedo esperar a ver si hay demanda?
Puedes, y es la decisión más cara que se toma en estos casos. Las bitácoras se rotan, los respaldos se sobrescriben y los equipos se reasignan. Lo que hoy cuesta una adquisición, en tres meses puede ser imposible a cualquier precio.
¿Sirve si el equipo ya lo revisó alguien de sistemas?
Sirve, pero con menos fuerza. Cada acceso previo sin registro es un tramo de la cadena de custodia que hay que explicar. Se documenta lo que se puede y se dice con claridad qué quedó fuera de control.
¿Se puede hacer sin apagar la operación?
Casi siempre. La adquisición se planea alrededor de la operación, no al revés, y en muchos casos se hace en ventanas cortas o sobre copias.
Si el material está en riesgo ahora mismo, escríbeme antes de tocar nada. La primera decisión —qué se apaga, qué no se toca, qué se copia primero— vale más que todo lo que venga después.
Si además de probarlo necesitas resolver el fondo —el contrato, el cumplimiento, la certificación, el litigio completo— eso se atiende desde .Lawgarithmics.