Cadena de custodia.

La cadena de custodia (CoC) preserva la integridad y admisibilidad de la evidencia digital y física. Cada transferencia se registra con marcas de tiempo, identificadores (número de caso, ID de evidencia, hashes) y firmas; los objetos se conservan en envases a prueba de manipulación dentro de instalaciones con control de acceso. Las buenas prácticas siguen ISO/IEC 27037, NIST SP 800-86 y guías ACPO/SWGDE: adquisición con bloqueadores de escritura, hashes criptográficos (SHA-256) antes y después de la copia y mantenimiento de copias de trabajo.

La disciplina está codificada en varias normas. El RFC 3227 ("Guidelines for Evidence Collection and Archiving", 2002) estableció el orden de volatilidad: capturar primero la RAM, las cachés y el estado de red antes que el disco y los soportes de archivo, ya que los datos más transitorios se pierden antes. La serie ISO/IEC 27037/27041/27042/27043 abarca identificación, recolección, adquisición, preservación y análisis, mientras que NIST SP 800-86 detalla el ciclo recolectar-examinar-analizar-informar. En los tribunales de EE. UU., la evidencia debe autenticarse según la Federal Rule of Evidence 901 y superar el estándar de fiabilidad Daubert; una cadena de custodia íntegra y sin interrupciones es la forma de probar que la prueba mostrada al jurado es la misma que se incautó y no fue manipulada. Una cadena rota — entradas faltantes, hashes incongruentes, envases sin sello o un vacío en el que un objeto quedó sin registrar — permite a la parte contraria pedir la exclusión y puede hacer inadmisible una evidencia decisiva, arruinando litigios, reclamaciones o investigaciones regulatorias. Las defensas incluyen entregas con doble firma, bloqueadores de escritura por hardware, hashing simultáneo y registros de auditoría con sellado de tiempo.

flowchart LR
  A[Incautación / Identificación] --> B[Adquisición<br/>bloqueador + hash]
  B --> C{¿Coincide el hash?}
  C -- No --> X[Fallo de integridad<br/>evidencia en riesgo]
  C -- Sí --> D[Almacenamiento inviolable<br/>con control de acceso]
  D --> E[Análisis sobre<br/>copia de trabajo]
  E --> F[Cada transferencia registrada:<br/>quién / cuándo / por qué / firma]
  F --> G[Presentación en juicio<br/>autenticación FRE 901]
  G --> H[Disposición final /<br/>devolución o destrucción]