Cadena de custodia: una guía práctica para equipos pequeños

Qué significa realmente la cadena de custodia

La cadena de custodia es el historial documentado de una pieza de evidencia, desde el momento en que se recolecta hasta el momento en que se presenta. Responde cuatro preguntas para cada elemento, en cada punto de su trayectoria:

• ¿Qué es, con precisión?
• ¿De dónde vino, y dónde se ha guardado?
• ¿Quién lo ha tenido, y quién se lo entregó a quién?
• ¿Cuándo ocurrió cada una de esas cosas?

Si puede responder esas cuatro preguntas para una pieza de evidencia con un registro ininterrumpido, la cadena está intacta. Si hay un vacío — un período en el que nadie puede decir dónde estaba o quién la tenía — la cadena está rota, y la otra parte argumentará que la evidencia pudo haber sido manipulada, cambiada o plantada.

Por qué los casos se derrumban sin ella

El propósito de la cadena de custodia no es la burocracia por sí misma. Es derrotar un ataque específico: "¿Cómo sabemos que este es el mismo documento/teléfono/muestra que se recolectó, y que nadie lo alteró?"

Sin una cadena, no puede responder esa pregunta, y no necesita ser culpable de nada para que esto lo hunda. La mera posibilidad de manipulación, una vez planteada, suele bastar para que la evidencia sea excluida o pierda peso. Investigadores perfectamente honestos pierden evidencia perfectamente buena de esta manera todos los días — no porque hayan hecho algo mal, sino porque no pueden demostrar que no lo hicieron.

El procedimiento simple

No necesita un laboratorio ni equipo costoso. Necesita disciplina y un formulario. Este es un procedimiento que un equipo de dos personas puede seguir:

1. Recolecte de forma deliberada. Cuando incorpore un elemento a la evidencia, regístrelo de inmediato: qué es, un número de referencia único, exactamente dónde y cuándo lo obtuvo, y de quién. Fotografíelo en su lugar antes de moverlo, si puede.

2. Etiquételo. Dé a cada elemento un identificador único y márquelo (o marque su contenedor) con ese identificador. Las descripciones vagas — "la carta", "el teléfono" — causan caos cuando tiene veinte elementos.

3. Asegúrelo. Guárdelo en un lugar con acceso controlado, donde solo personas designadas puedan llegar a él. Un cajón con llave a cargo de una sola persona es mejor que un armario compartido. Para la evidencia digital, un almacenamiento privado con registro de accesos es mejor que una unidad compartida.

4. Registre cada movimiento. Este es el corazón de la cadena. Cada vez que el elemento cambia de manos o de ubicación, regístrelo: quién lo entregó, quién lo recibió, la fecha y hora, y el motivo. Un vacío aquí es un vacío en la cadena.

5. Preserve el original; trabaje con copias. Nunca trabaje sobre la única copia de algo. Para un documento, mantenga el original asegurado y trabaje con copias. Para la evidencia digital, esto es esencial, lo que nos lleva al caso especial.

La evidencia digital necesita un paso adicional

La evidencia física puede sellarse en una bolsa. La evidencia digital — una foto, una exportación de teléfono, una hoja de cálculo, un correo electrónico — puede alterarse sin dejar un rastro visible, así que necesita una manera de demostrar que un archivo no ha cambiado. Esa herramienta es el hash.

Un hash es una huella digital: hace pasar un archivo por una función de hash y obtiene una cadena corta de caracteres que es única para ese archivo exacto. Cambie un solo píxel o una coma y el hash cambia por completo. Así que en el momento en que recolecta un elemento digital, calcula y registra su hash. En cualquier momento posterior, puede volver a calcular el hash del archivo: si el hash sigue coincidiendo, el archivo está comprobadamente sin alterar; si difiere, el archivo ha cambiado. Registrar el hash en el momento de la recolección es el equivalente digital de sellar y firmar la bolsa de evidencia. (Una guía complementaria trata la cadena de custodia para evidencia digital con mayor profundidad.)

Un formulario de cadena de custodia que puede adaptar

Como mínimo, un registro de custodia para cada elemento debe capturar:

• Referencia única del elemento y descripción
• Fecha, hora, lugar y origen de la recolección
• Nombre de quien recolectó
• Ubicación de almacenamiento
• Para elementos digitales: el valor del hash y el algoritmo utilizado
• Un registro de movimientos: fecha/hora, entregado por, recibido por, propósito — una fila por cada entrega

Mantenga un registro por elemento, agregue a él cada vez que el elemento se mueva, y nunca elimine una fila — el historial es la evidencia de la integridad.

Los errores que cometen los equipos pequeños

• Empezar tarde. Decidir documentar la custodia solo cuando un asunto se vuelve serio. Para entonces, el historial temprano ya se perdió. Trate todo como evidencia potencial desde el principio.
• Almacenamiento compartido y sin registro. La evidencia en un cajón que cualquiera puede abrir no tiene una custodia significativa.
• Trabajar sobre los originales. Editar la única copia destruye la capacidad de mostrar el estado original.
• No hay registro de quién lo tenía. "Estaba en algún lugar de la oficina" no es una cadena.
• Vacíos. Cualquier período sin explicar es el vacío por el que la otra parte hará pasar un camión.

Proporciónelo al asunto

No todo trozo de papel necesita el tratamiento completo de custodia, y pretender lo contrario paralizará a un equipo pequeño. Aplique criterio: cuanto más probable sea que un elemento sea impugnado, y cuanto más importe para el caso, más riguroso debe ser el manejo de la custodia. Un documento de apoyo menor puede manejarse con ligereza; la pieza central de evidencia merece el procedimiento completo. La habilidad está en decidir a tiempo cuál es cuál.

Cómo hacer esto sin un archivador lleno de formularios

La cadena de custodia es fundamentalmente una disciplina de mantenimiento de registros, y el mantenimiento de registros hecho en papel suelto es exactamente lo que se derrumba bajo presión. Conectir guarda la evidencia en un almacenamiento privado con acceso controlado, registra qué se agregó y cuándo, y — para el informe — produce un registro de auditoría encadenado por hash que muestra que la evidencia en la que se basa está intacta desde la recolección en adelante. Construye el registro de custodia a medida que trabaja, en lugar de pedirle que lo reconstruya después. Si demostrar la integridad de la evidencia importa para sus casos, vea cómo lo manejan las herramientas de evidencia e informes.