Cuando una empresa detecta indicios de fraude interno, fuga de información confidencial o conductas irregulares, los primeros pasos dictan el éxito o el fracaso del caso. El instinto inicial del equipo técnico o de recursos humanos suele ser acceder inmediatamente a los dispositivos y servicios corporativos del empleado investigado.
Revisar su ordenador, teléfono móvil o buzón de Microsoft 365 parece la forma más rápida de evaluar la situación. Sin embargo, para los departamentos legales, esta reacción representa el inicio de un problema procesal crítico. Acceder a las plataformas utilizando las credenciales del custodio es un error técnico que destruye la viabilidad jurídica de la prueba.
La alteración de metadatos y la exigencia de la ISO/IEC 27037
Desde un punto de vista estrictamente técnico, iniciar sesión en un servicio colaborativo o desbloquear un dispositivo local altera los metadatos del sistema de archivos y de las aplicaciones instaladas. Atributos críticos como las fechas de último acceso (MAC times) y los registros de eventos (logs) se modifican en el instante exacto en que la plataforma registra la nueva actividad.
Esta alteración técnica impide extraer posteriormente un valor hash (como SHA-256) idéntico al original. Cuando legislaciones como la Ley de Enjuiciamiento Civil (LEC) exigen la autenticidad de la prueba, o la LOPD-GDD impone reglas sobre el acceso patronal a dispositivos, el único puente válido para cumplir estos mandatos es la aplicación de normativas técnicas internacionales. Específicamente, la norma ISO/IEC 27037:2012 dicta las directrices técnicas ineludibles para la recolección y adquisición de evidencia digital, estableciendo que cualquier extracción debe garantizar la indemnidad del dato de origen mediante firmas criptográficas. Sin el respeto a esta norma técnica, la evidencia carece de sustento.
Contaminación de la evidencia en la práctica forense
La fragilidad de una recolección inadecuada se evidencia al realizar el análisis pericial posterior. Al no haber aplicado la norma ISO desde el primer minuto, el perito es incapaz de discriminar técnicamente qué acciones registradas en los logs fueron realizadas por el usuario investigado y cuáles son un subproducto del acceso bienintencionado del propio equipo de sistemas de la empresa. La incapacidad de separar ambos eventos se traduce en una ruptura de la cadena de custodia, lo que impide al departamento jurídico sostener la prueba material en cualquier proceso.
Ejecución y control de las metodologías forenses
Para asegurar la información sin modificar la evidencia original, es imperativo abandonar el acceso directo no controlado y aplicar procedimientos especializados. En entornos alojados en la nube, la técnica ideal exige el uso de plataformas dedicadas a la extracción forense remota y al eDiscovery, destacando soluciones de fabricantes clave como OpenText eDiscovery, Exterro eDiscovery y Magnet AXIOM Cyber. Estas herramientas permiten conectar mediante API directas a repositorios distribuidos en infraestructuras de proveedores como Amazon Web Services (AWS), Microsoft Azure o Google Cloud, abstrayendo los datos y calculando el valor hash directamente en el servidor de origen.
Cuando no se cuenta con este tipo de software pericial especializado para la nube, una alternativa válida es recurrir a las plataformas nativas de cumplimiento normativo de los propios fabricantes. Los centros de gobernanza empresarial, como el Centro de Compliance de Microsoft Purview o la consola de Google Vault, están alineados con las buenas prácticas de la industria de la ciberseguridad y proporcionan una cadena de custodia trazable y aceptable en sede judicial.
Sin embargo, existe la posibilidad de que no haya ninguna plataforma corporativa ni nativa disponible en la organización. En estos casos complejos, no se descarta la prueba, sino que la contaminación producida por un acceso manual debe ser rigurosamente controlada. El procedimiento técnico en España exige recurrir a un notario público para levantar un acta de presencia. El fedatario público dará fe de la sesión manual de recolección de datos y, de forma inmediata tras la descarga, el técnico calculará el valor hash de los archivos extraídos para incorporarlo al documento notarial, dotando a la evidencia del blindaje procesal necesario.
El abordaje de los soportes de almacenamiento físico local y de los terminales móviles corporativos obedece a la misma lógica de priorizar técnicas no invasivas. En el caso de ordenadores de escritorio, portátiles o servidores, la práctica estándar requiere realizar un clonado forense con el equipo apagado, interponiendo un bloqueador de escritura (write-blocker) físico y utilizando suites de adquisición consolidadas como OpenText EnCase Forensic, Forensic Toolkit (FTK) de Exterro o Magnet AXIOM para crear una copia espejo matemáticamente exacta.
Si el alcance de la investigación interna involucra smartphones o tabletas corporativas, el entorno pericial se apoya de forma generalizada en tecnologías de extracción y análisis de dispositivos móviles como Cellebrite UFED, Oxygen Forensic Detective o MOBILedit Forensic. Estas herramientas permiten aislar el dispositivo y realizar extracciones lógicas o físicas de las memorias flash, recuperando bases de datos de aplicaciones y registros eliminados, cuando es posible.
No obstante, la práctica forense real a veces presenta obstáculos insalvables donde el método ideal no es viable, como cuando un portátil corporativo viene cifrado de fábrica con BitLocker pero la empresa no dispone de la clave de recuperación activa. Realizar un clonado forense offline tradicional en este escenario daría como resultado un archivo de datos completamente ilegible. Ante este tipo de bloqueos, se vuelve estrictamente necesario aplicar una metodología invasiva encendiendo el equipo, pero implementando salvaguardas extremas amparadas por la fe pública.
La práctica consistiría, por ejemplo, en solicitar un acta de presencia notarial: primero, se preserva el disco SSD original de forma tradicional mediante hardware forense; a continuación, se enciende el ordenador frente al notario para exportar la clave de recuperación desde el sistema operativo en vivo y documentar el proceso; finalmente, se vuelve a apagar el portátil y se realiza una segunda preservación del disco duro con la criptografía abierta a través de un entorno controlado. Toda actuación invasiva exige esta documentación pericial minuciosa para conservar su validez legal.
Conclusión
Las investigaciones internas por sospechas de fraude, fuga de información confidencial o conductas irregulares exigen una alineación total entre los departamentos de recursos humanos, TI y legal. La urgencia por revisar los dispositivos o el entorno colaborativo del empleado investigado nunca debe traducirse en un acceso directo mediante sus credenciales, ya que esta acción contamina la prueba y arruina la viabilidad del caso en los tribunales.
Aislar los equipos y preservar los datos mediante metodologías forenses rigurosas (o con amparo notarial cuando la técnica lo exija) es un camino válido para garantizar que la empresa disponga de evidencias sólidas y legalmente defendibles.
Consulte aquí nuestra guía de preservación de evidencias digitales en entornos corporativos.
