La prueba no es el archivo, sino su recorrido
Un archivo de Excel con precios de clientes, encontrado en el almacenamiento privado en la nube de un empleado que ya ha dejado la empresa. De contenido inequívoco. Y, sin embargo, la primera pregunta de la parte contraria no es: ¿Qué dice? Sino: ¿De dónde procede el archivo, quién lo ha tenido en sus manos y cómo saben ustedes que no ha sido modificado?
Estas son precisamente las preguntas que responde la cadena de custodia. Si no se pueden responder, la prueba se convierte en una afirmación con un archivo adjunto.
Qué es una cadena de custodia
El National Institute of Standards and Technology (NIST) de Estados Unidos define la cadena de custodia como una documentación cronológica que registra la incautación, la custodia, el control, la transferencia, el análisis y el destino final de pruebas físicas o electrónicas [1]. La directriz RFC 3227 del IETF lo formula de manera más práctica: hay que poder describir con claridad cómo se encontró una prueba, cómo se manipuló y todo lo que le ocurrió [2].
En concreto, esto significa registrar para cada prueba y cada paso:
- Quién preservó, entregó, analizó.
- Qué se preservó exactamente – dispositivo, buzón, archivo – y con qué valor hash.
- Cuándo y dónde – incluida la zona horaria.
- Cómo – con qué método, qué herramienta, qué versión.
- Por qué – sobre qué base y en el marco de qué mandato.
El valor hash es la huella digital. Si coincide en la preservación, en cada entrega y en la presentación, queda demostrado que los datos no han cambiado.
Por qué la prueba digital es especialmente vulnerable
En papel existen un original y copias. Con los archivos no: una copia con un valor hash idéntico es el archivo. A la inversa, cada conversión modifica el archivo, aunque no se aprecie a simple vista. Schreiber y Kettiger muestran en la revista suiza de jueces que imprimir un correo electrónico o convertirlo en PDF elimina el encabezado y el resto del código fuente – precisamente la información que permite verificar remitente, servidor y hora [6]. Aun así, esta forma está hoy muy extendida [6].
De ello se deriva una regla sencilla: todo cambio debe justificarse y documentarse – de lo contrario, se convierte en un punto de ataque.
Cómo reconocer una cadena de custodia impecable
ISO/IEC 27037 exige cuatro propiedades en el tratamiento de la prueba digital: auditabilidad, repetibilidad, reproducibilidad y justificabilidad [3]. Toda acción debe poder ser seguida por un tercero cualificado; toda desviación del procedimiento estándar debe justificarse.
Los principios ACPO del Reino Unido se consideran desde hace tiempo la referencia profesional [4]. Su núcleo en cuatro puntos: ninguna acción puede modificar datos en los que más tarde se vaya a basar el caso. Quien deba acceder a datos originales debe ser competente para ello y poder explicar sus actuaciones. Debe llevarse un registro de auditoría de todos los pasos, de modo que un tercero independiente pueda llegar al mismo resultado. Y la responsabilidad general recae en la persona a cargo del caso.
RFC 3227 añade dos principios que en la práctica se incumplen con frecuencia: primero preservar, después analizar – y no trabajar nunca sobre la copia de prueba, sino sobre una copia de trabajo adicional [2].
Para su uso en procedimientos en Suiza, resultan especialmente relevantes el Código Procesal Civil (Zivilprozessordnung, ZPO) [7] y el Código Procesal Penal (Strafprozessordnung, StPO) [8]. El peso de una prueba electrónica depende en la práctica en gran medida de que puedan rastrearse su autenticidad, su integridad y su origen [6] – que es exactamente lo que aporta una cadena de custodia impecable. Cómo debe introducirse una prueba en un procedimiento concreto es algo que debe valorar su despacho de abogados.
Qué esperan los reguladores
Los reguladores comprueban sobre todo el formato. En sus Data Delivery Standards, la Comisión de Bolsa y Valores de Estados Unidos (SEC) exige que los archivos electrónicos se entreguen en su formato nativo. Cuando los datos se deduplican, deben conservarse y entregarse los metadatos de los duplicados – como el custodio y la ubicación de almacenamiento [9]. La Comisión Federal de Comercio de Estados Unidos (FTC) prevé en sus directrices de presentación un campo específico para el valor hash del archivo original [10].
En Suiza, la FINMA designa encargados de investigación para asuntos complejos [11]. También sus conclusiones son tan sólidas como la trazabilidad de los datos en los que se basan.
La cadena de custodia de un vistazo
| Eslabón de la cadena | Qué se documenta | Ruptura típica |
|---|---|---|
| Identificación | Fuentes de datos, custodios, mandato y base | Fuentes añadidas posteriormente sin justificación |
| Preservación | Método, herramienta y versión, valor hash, hora y zona horaria, persona que la realiza | Recopilación por los propios implicados mediante arrastrar y soltar |
| Entrega | De quién a quién, cuándo, cómo se transportó, verificación del hash | Soportes de almacenamiento enviados por correo postal sin registro |
| Almacenamiento | Ubicación, derechos de acceso, registro de accesos | Guardado en una unidad de red de acceso abierto |
| Procesamiento y análisis | Copia de trabajo, herramientas, filtros, deduplicación | Análisis realizado directamente sobre la copia de prueba |
| Presentación | Vínculo de cada archivo presentado con la preservación (valor hash) | Correo electrónico en PDF sin encabezado y sin el archivo fuente |
Los EDRM Collection Standards señalan que las copias mediante arrastrar y soltar modifican los metadatos, no generan un registro de auditoría automático y son difíciles de reproducir [5]. Quien recopila de este modo debe contar con tener que volver a recopilar los datos más adelante de forma forense – si para entonces todavía existen.
Qué ayuda en la práctica
Schreiber y Kettiger recomiendan, entre otras cosas, para el tratamiento de la prueba electrónica [6]:
- Identificar la prueba al recibirla y antes de cada transmisión por su valor hash – no por su nombre de archivo.
- Almacenar y transmitir la prueba de modo que no pueda modificarse involuntariamente.
- Si una conversión es inevitable, consignar ambas versiones en el registro de pruebas: el archivo fuente y el archivo presentado, cada uno con nombre de archivo, formato y valor hash (p. ej., SHA-256) – y el motivo del cambio.
A ello se suma lo que distingue a toda buena investigación: la documentación se elabora durante el trabajo, no después. Un registro reconstruido a posteriori es en sí mismo un punto de ataque.
Conclusión — cinco preguntas para cada cadena de custodia
- ¿Puede rastrearse cada prueba sin lagunas hasta su origen?
- ¿Coinciden los valores hash en la preservación, la entrega y la presentación?
- ¿Está documentada por su nombre cada persona que tuvo acceso?
- ¿Está justificado y registrado cada cambio – conversión, filtrado, deduplicación?
- ¿Podría un experto independiente repetir el procedimiento y llegar al mismo resultado?
Allí donde una de estas preguntas deba responderse con un «no», la debilidad no está en el contenido, sino en el recorrido. La cadena de custodia no puede crearse a posteriori. Se establece con el primer paso – o no se establece.
Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico. Para una valoración jurídica de su caso, consulte a un despacho de abogados.
Fuentes
[1] National Institute of Standards and Technology (NIST), OSAC Lexicon: Chain of Custody Records – https://www.nist.gov/glossary-term/20081
[2] Brezinski, D. / Killalea, T.: RFC 3227 – Guidelines for Evidence Collection and Archiving, IETF, 2002 – https://www.rfc-editor.org/rfc/rfc3227
[3] ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence – https://www.iso.org/standard/44381.html
[4] Association of Chief Police Officers (ACPO, actualmente National Police Chiefs’ Council): ACPO Good Practice Guide for Digital Evidence, versión 5, 2012
[5] EDRM (edrm.net): EDRM Collection Standards – https://edrm.net/resources/frameworks-and-standards/edrm-model/edrm-stages-standards/edrm-collection-standards/
[6] Schreiber, C. / Kettiger, D.: Elektronische Beweismittel – neue Herausforderungen, en: «Justice – Justiz – Giustizia» 2024/2 (Richterzeitung) – https://www.advo-schreiber.ch/dok/Schreiber_Kettiger_Richterzeitung_2024_2_el_Beweismittel.pdf
[7] Código Procesal Civil suizo (Zivilprozessordnung, ZPO), SR 272 – https://www.fedlex.admin.ch/eli/cc/2010/262/en
[8] Código Procesal Penal suizo (Strafprozessordnung, StPO), SR 312.0 – https://www.fedlex.admin.ch/eli/cc/2010/267/en
[9] U.S. Securities and Exchange Commission: Data Delivery Standards, Rev. 08/2026 – https://www.sec.gov/files/sec-dds-aug-2026.pdf
[10] U.S. Federal Trade Commission: Preparing Native Files (Bureau of Competition Production Guide) – https://www.ftc.gov/tips-advice/competition-guidance/bc-production-guide/preparing-collections/native-files
[11] Ley Federal sobre la Autoridad Federal de Supervisión de los Mercados Financieros de Suiza (Finanzmarktaufsichtsgesetz, FINMAG), SR 956.1 – https://www.fedlex.admin.ch/eli/cc/2008/736/en
El contenido de edrm.net se publica bajo la licencia Creative Commons Attribution 4.0 International.