Cuando se habla de «cadena de custodia digital» se suele imaginar un procedimiento único, aplicable por igual a cualquier situación: clonar el disco bit a bit, calcular un hash, listo. La realidad, al menos según la norma española de referencia en la materia, es más matizada — y esa diferencia importa mucho a la hora de defender una extracción ante un juzgado.
Dos escenarios que la norma trata de forma distinta
UNE 71506:2013 estructura el proceso forense en preservación, adquisición, documentación, análisis y presentación. Dentro de la fase de adquisición, distingue explícitamente dos escenarios con requisitos distintos:
- §7.1 — Sistemas apagados. El escenario clásico: el dispositivo está apagado, se puede clonar bit a bit, y el resultado es perfectamente reproducible — cualquiera puede repetir el proceso y obtener exactamente la misma imagen.
- §7.2 — Sistemas encendidos («Live Forensics»). El equipo sigue en marcha: hay procesos activos, memoria volátil, conexiones de red. No hay clonado bit a bit posible en el mismo sentido, porque el propio sistema sigue cambiando mientras se extrae la evidencia.
Lo que la norma reconoce sobre los sistemas encendidos
Aquí está el matiz que se suele pasar por alto: la propia norma es permisiva con este segundo escenario, precisamente porque reconoce su naturaleza distinta. Dice explícitamente que estas técnicas «no permiten su reproducibilidad», y añade algo más importante todavía:
«la validez de los resultados obtenidos depende en gran medida de cómo se justifiquen en el informe pericial».
Dicho de otro modo: en una extracción en vivo, lo que sostiene la prueba no es un hash idéntico reproducible por un tercero — eso no existe aquí de la misma forma —, sino el procedimiento documentado. Cómo se hizo, cuándo, por quién, y con qué garantías de que nada se alteró más allá de lo inevitable por el propio hecho de trabajar sobre un sistema vivo.
La norma incluso anticipa la objeción más obvia — «¿y si el hash cambia porque el sistema sigue en marcha?» — y responde que un hash dinámico, propio de un sistema encendido, «no debería afectar a su posible valor legal», siempre que quede justificado en el informe.
Qué significa esto en la práctica
Si tu procedimiento de adquisición en vivo se apoya solo en «calculé un hash del fichero al terminar», te falta la mitad de lo que la norma realmente valora. Lo que sí importa, según este mismo criterio:
- Grabar la sesión completa de adquisición, no solo el resultado final.
- Sellar cada artefacto en el momento — no reconstruir el cuándo después, de memoria.
- Dejar constancia de quién hizo la extracción y con qué herramienta.
- Que un tercero pueda verificar lo anterior de forma independiente, sin depender solo de tu palabra.
Lo que la norma no dice que hagas (y conviene no fingir que haces)
UNE 71506 dedica un capítulo completo (§9) al análisis forense — recuperación de datos borrados, estudio del sistema operativo, indexado, análisis de artefactos de Internet — que es un trabajo distinto al de la adquisición, y no algo que un software de captura deba resolver. También aclara en su propio §1 que no es su objeto homologar herramientas de software: lo que se puede acreditar, si se quisiera ir por esa vía, es el laboratorio (ISO/IEC 17025), no el programa que se usó.
Cualquier herramienta —o proveedor— que prometa una «certificación UNE 71506 del software» está prometiendo algo que la propia norma dice explícitamente que no otorga.
La conclusión práctica
En sistemas encendidos, el procedimiento documentado pesa más que la promesa de un hash inmutable. Grabar, sellar en el momento, y dejar todo verificable de forma independiente no es una opción cosmética — es, según el propio marco normativo, la parte que de verdad sostiene la validez legal de una extracción en vivo.
