Los mismos datos, preguntas distintas
El portátil de un empleado que ha dejado la empresa, su buzón de Exchange, un canal de Teams: al principio, ambas disciplinas tienen el mismo material sobre la mesa. La diferencia está en la pregunta que se le plantea.
- eDiscovery pregunta: ¿Qué contienen los datos – y qué parte es relevante para el caso?
- La informática forense pregunta: ¿Qué ocurrió en el sistema – quién hizo qué y cuándo, y se ocultó o eliminó algo?
Quien confunde ambas paga por una profundidad que no necesita, o descubre demasiado tarde que la huella decisiva nunca se preservó.
eDiscovery: de una montaña de datos al documento relevante
El marco de referencia del eDiscovery es el Electronic Discovery Reference Model (EDRM). Describe nueve etapas, desde la gobernanza de la información, pasando por la identificación, la preservación y la recopilación, hasta el procesamiento, la revisión, el análisis, la producción y la presentación [1]. Es importante señalar que el EDRM se concibe expresamente como un modelo conceptual y no como una secuencia rígida. Las etapas pueden omitirse, ejecutarse en otro orden o repetirse varias veces [1].
Tres etapas constituyen el núcleo:
- El procesamiento reduce el volumen de datos y los pone en una forma que permite revisarlos [1].
- La revisión evalúa los documentos en cuanto a su relevancia y a contenidos protegidos (privilege) [1].
- El análisis evalúa contenido y contexto – patrones, temas, personas, hilos de conversación [1].
El resultado es un conjunto de documentos revisado y codificado: la base para una producción, una respuesta a una autoridad o una cronología sólida de los hechos. El eDiscovery trabaja en amplitud – muchos custodios, a menudo cientos de miles o millones de documentos.
Informática forense: reconstruir los hechos
Según la definición del National Institute of Standards and Technology (NIST) de Estados Unidos, la informática forense es la aplicación de la ciencia a la identificación, recopilación, examen y análisis de datos preservando su integridad [2]. El NIST divide el proceso en cuatro fases: recopilación, examen, análisis e informe [2].
La informática forense trabaja en profundidad. Le interesa menos el contenido de un documento que las huellas que deja una acción: archivos eliminados, espacio no asignado, registros del sistema, dispositivos USB conectados, artefactos del navegador y de sincronización. El resultado es un informe con hallazgos, una cronología y una metodología trazable y reproducible – algo que debe resistir el escrutinio de la parte contraria o de un tribunal.
El rumbo se fija en la preservación
Ambas disciplinas comienzan con la preservación – y es precisamente ahí donde se toma la decisión de mayores consecuencias. Las EDRM Collection Standards distinguen, entre otras [3]:
- Imagen forense: una copia exacta, sector por sector, del soporte de almacenamiento que captura datos activos e inactivos. Verificable a nivel de dispositivo y de archivo, pero con mayor esfuerzo.
- Recopilación dirigida: solo archivos y carpetas activos del sistema de archivos.
- Copia no forense: copia mediante el sistema operativo. Depende en gran medida de los custodios; los filtros aplicados durante la recopilación pueden pasar archivos por alto.
El EDRM recomienda además que, en el marco de un análisis forense, una imagen forense sea examinada por un perito cualificado con experiencia ante tribunales [3].
De ello se desprende una regla sencilla: para el eDiscovery basta una recopilación dirigida – pero esta impide un análisis forense posterior. Lo que no se preservó no puede analizarse. Una vez que el portátil se ha reinstalado y entregado a la siguiente persona, las huellas han desaparecido.
La diferencia de un vistazo
| eDiscovery | Informática forense | |
|---|---|---|
| Pregunta clave | ¿Qué dice, qué es relevante? | ¿Qué ocurrió – cómo, cuándo, quién? |
| Base de datos | Datos activos: correos electrónicos, documentos, chats, nube | También datos eliminados, ocultos y de nivel de sistema |
| Enfoque | Amplitud: muchas personas, grandes volúmenes | Profundidad: pocos dispositivos, huellas detalladas |
| Métodos | Procesamiento, deduplicación, términos de búsqueda, revisión asistida por IA | Creación de imágenes, hashing, análisis de artefactos, cronología |
| Personas implicadas | Abogados, revisores, gestión de proyectos | Peritos forenses |
| Resultado | Conjunto de documentos revisado, producción, cronología | Informe pericial con hallazgos y metodología |
| Factores de coste | Volumen de datos y horas de revisión | Número de dispositivos y profundidad del análisis |
Cuándo necesita cuál
eDiscovery cuando se trata de contenido: solicitudes de producción en procedimientos civiles, requerimientos de información de autoridades reguladoras, investigaciones internas por sospechas de corrupción o infracciones de cumplimiento en las que la propia comunicación es la prueba.
Informática forense cuando se trata de acciones: sospecha de exfiltración de datos por USB o a la nube, sospecha de eliminación o manipulación, dudas sobre la autenticidad de un documento, incidentes cibernéticos.
Ambas cuando contenido y acción van de la mano – y eso es más frecuente de lo que cabría pensar. Un ejemplo típico: la sospecha de que un empleado que ha dejado la empresa se llevó secretos comerciales. La informática forense muestra que, la víspera de su renuncia, se copiaron datos de diseño en una memoria USB. El eDiscovery muestra en los correos electrónicos con quién había hablado de un cambio de empleo en las semanas anteriores. Solo juntas ofrecen una imagen que se sostiene.
Las disciplinas también se alimentan mutuamente: los nombres de archivo y las marcas de tiempo del análisis forense se convierten en términos de búsqueda en la revisión; los indicios de la revisión apuntan a otros dispositivos que requieren un examen forense.
El marco jurídico
Los modelos de referencia proceden del mundo anglosajón; a nivel internacional, la norma ISO/IEC 27037 añade directrices para la identificación, recopilación y preservación de evidencias digitales [4]. Para investigaciones en Suiza son especialmente relevantes la Ley Federal de Protección de Datos de Suiza (nLPD/revDSG) [5], el derecho laboral del Código de Obligaciones suizo (CO/OR) [6] y – cuando intervienen procedimientos o autoridades extranjeros – el Código Penal suizo (CP/StGB) [7].
Qué requisitos se aplican en un caso concreto y hasta dónde puede llegar una recopilación de datos es una cuestión jurídica que corresponde a un despacho de abogados. En este tipo de mandatos trabajamos en estrecha colaboración con los asesores jurídicos de nuestros clientes.
Con independencia de ello, hay algo que vale para ambas disciplinas: la documentación completa de la cadena de custodia no es un añadido, sino una condición previa para que la prueba sea utilizable.
Conclusión: tres preguntas antes de empezar
- ¿Se trata de contenido o de acciones? El contenido apunta al eDiscovery, las acciones a la informática forense.
- ¿Podría alguien cuestionar que los datos estén completos y sin alterar? Entonces necesita métodos forenses – al menos para la preservación.
- ¿Quién examinará el resultado? La parte contraria, un tribunal y una autoridad plantean cada uno requisitos distintos en cuanto a método y prueba.
Y si las respuestas aún no están claras: preservar de forma forense, analizar de forma selectiva. El análisis siempre puede profundizarse. La preservación no puede hacerse a posteriori.
Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico. Para una evaluación jurídica de su caso, consulte a un despacho de abogados.
Fuentes
[1] EDRM (edrm.net): EDRM Model – https://edrm.net/wiki/edrm-model/
[2] Kent, K. et al.: NIST Special Publication 800-86 – Guide to Integrating Forensic Techniques into Incident Response, National Institute of Standards and Technology, 2006 – https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-86.pdf
[3] EDRM (edrm.net): EDRM Collection Standards – https://edrm.net/frameworks-and-standards/edrm-model/edrm-stages-standards/edrm-collection-standards/
[4] ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence – https://www.iso.org/standard/44381.html
[5] Ley Federal de Protección de Datos (Bundesgesetz über den Datenschutz, DSG), RS 235.1 – https://www.fedlex.admin.ch/eli/cc/2022/491/en
[6] Código de Obligaciones suizo (Obligationenrecht, OR), RS 220 – https://www.fedlex.admin.ch/eli/cc/27/317_321_377/en
[7] Código Penal suizo (Strafgesetzbuch, StGB), RS 311.0 – https://www.fedlex.admin.ch/eli/cc/54/757_781_799/en
El contenido de edrm.net está bajo la licencia Creative Commons Attribution 4.0 International.