Descubrimiento electrónico: la evidencia digital y sus retos empresariales

Introducción

Procesar conductas punibles en un mundo digital establece un reto técnico, administrativo y legal para la gobernabilidad de cualquier nación o empresa. Por tanto, conocer con claridad la estructura técnica de los elementos materiales probatorios en medios tecnológicos, sus medidas de aseguramiento y estrategia de presentación se convierte en una prioridad para todos los operadores de la administración de justicia y los profesionales del derecho en un país o corporación.

En este contexto, toma especial importancia, establecer y desarrollar protocolos que permitan identificar, recoger y custodiar los rastros electrónicos propios de cada escena del crimen digital o situación corporativa particular, de tal forma que al presentarse en audiencia no se encuentren reparos o anotaciones que puedan llegar a desvirtuar la misma, privilegiando el espacio de la duda razonable que actúa a favor de los posibles involucrados.

En este sentido, es fundamental establecer una base conceptual técnica de buenas prácticas y estrategias que, desde el punto de vista técnico y con miras al soporte jurídico posterior, puedan brindar a la entidades del estado y a la sociedad en general, una confianza razonable de los procedimientos aplicados para asegurar elementos materiales probatorios digitales a los que pueda tener acceso tanto los particulares como los servidores públicos en el ejercicio de sus funciones.

En consecuencia, los temas relacionados con la computación forense y el descubrimiento electrónico se advierten como dos elementos fundamentales tanto en la administración de justicia como en el ámbito corporativo respectivamente, para comprender con mismo nivel de certidumbre cómo ocurrió un incidente informático, sus móviles y posibles participantes, así como establecer y ubicar la información electrónicamente almacenada relevante para preparar a una organización frente a demandas o litigios donde este tipo de datos digitales son claves para plantear los argumentos requeridos para reclamar o reconocer los derechos de las personas naturales o jurídicas. (CANO 2010, cap. 7)

Entendiendo el descubrimiento electrónico

Hablamos entonces de una disciplina cercana a la computación forense que denominamos “descubrimiento electrónico” o en inglés “electronic discovery”, e-discovery. Una breve definición de qué es e-discovery sería: procedimiento legal donde se le ordena a una de las partes involucradas la producción de pruebas electrónicas. Generalmente el resultado de este procedimiento implica el análisis de un amplio número de dispositivos electrónicos o medios de almacenamiento, para recabar la evidencia electrónica requerida. (ISF 2008, pág 2)

En este contexto, se revela el deber que tienen las organizaciones de preservar información relevante, para anticiparse a un posible litigio jurídico. Por tanto, las empresas deben establecer políticas de retención de información electrónica para eventos como: injurias (preservación de datos de empleados o clientes ante injurias, especialmente aquellas donde la empresa pueda aparecer como negligente), despidos (registros de pagos, préstamos, liquidaciones salariales, prestaciones) e incidentes donde estén involucrados ejecutivos de la empresa (políticas conservación electrónica de las actuaciones de los ejecutivos, particularmente cuando ya no están en la empresa). (CIO EXECUTIVE BOARD 2011b, pág. 10)

Ciclo de vida del descubrimiento electrónico en la empresa

En línea con lo anterior, el abogado especializado en temas de información electrónicamente almanacenada (IEA), Michael R. Arkfeld, en su libro “Electronic discovery and evidence. 2011 -2012 Edition”, publicado por LawPartner publishing, LLC., establece un ciclo de vida para desarrollar el concepto de descubrimiento electrónico en una empresa, siguiendo cinco pasos fundamentales basado en el modelo de e-discovery de FULBRIGHT y JAWORSKI, para balancear la administración del riesgo corporativo y la estimación y contención de los costos, propios del tratamiento de la información electrónica en una organización. Los pasos son: (ARKFELD 2011, cap.3)

Paso 1: Identificar, preservar y recolectar

Identificar, se adelanta de manera paralela con la acción de “preservar”, se entiende como el tipo, fuente y localización de toda la IEA que debe ser preservada. Es importante anotar, que basado en la naturaleza del caso que se lleve se define el tipo y las fuentes de IEA requeridas, considerando todo el tiempo los costos de localizar y convertir la IEA en formatos legibles y usables que permitan una presentación adecuada frente a los terceros y autoridades involucradas.

Preservar, la obligación de preservar puede provenir de diferentes fuentes: leyes, estatutos, regulaciones u órdenes de cortes. Dependiendo del tipo de regulaciones o exigencias legales, el deber para preservar las pruebas o evidencia se establece cuando el litigio es: razonablemente anticipado, razonablemente predecible, inminente o pendiente. En este sentido, para minimizar el riesgo de la destrucción de la evidencia y evitar sanciones, la evidencia digital debe ser preservada tan pronto como se notifique por la parte sobre las potenciales reclamaciones que se pueden presentar. (ARKFELD 2011b, sección 7.9)

Recolectar, es el proceso de reunir potenciales datos relevantes para ser procesados y revisados. En este sentido, considerando la gran cantidad de IEA almacenada en múltiples ubicaciones, con variedad de formatos, se debe asegurar que el procedimiento que se establezca para ello, sea comprensivo y legalmente defendible. Es importante anotar que dado el incremento de datos informáticos almacenados fuera del control directo de la empresa, generalmente en dispositivos personales o en la nube, se cuenta con un reto adicional en este proceso de recolección. (CIO EXECUTIVE BOARD 2011b, pág. 11)

Paso 2: Filtrar y convertir a Información electrónicamente almacenada (IEA)

Filtrar significa reducir y asegurar la precisión de la IEA. Esto es, aplicar una serie de criterios que permitan afinar lo requerido según el caso, efectuar revisiones más focalizadas y mantener controlados los costos de producción de la evidencia. En este sentido, las consideraciones claves que se sugieren para adelantar este paso son:

Negociación del cumplimiento

La premisa en este punto es reunirse y acordar con el abogado de la contraparte los alcances de la preservación de la IEA con el fin de limitar los costos de producción y mantenimiento de la misma. En este sentido, se sugiere que durante la negociación esté presente el personal del área de tecnología de información, o si la negociación se torna tensa o difícil, asistirse de una tercera parte neutral.

Considerar las protecciones legales

Existen declaraciones y disposiciones legales que dan forma y moderan las peticiones de IEA, evitando la extralimitación en su solicitud, incluso considerando el hecho que no esté razonablemente accesible. Los tribunales revisan con detalle las peticiones de protección efectuadas por la parte, para establecer si ésta es una carga, no es excesivamente amplia o pertinente, o no está razonablemente accesible, y así establecer si se autoriza o no dicha solicitud.

Filtrado de la IEA

Este proceso reduce el tamaño de la población de IEA disponible. El proceso de filtrado responde a una “valoración temprana del caso” o su revisión “analítica”. Se estima que aproximadamente entre el 75 y 95 por ciento de los datos inicialmente recolectados en respuesta a una solicitud de descubrimiento electrónico, será eliminada pues no responde a lo requerido y podrá ser filtrada para su no revisión posterior.

Siguiendo lo establecido en Judges’ Guide to Cost-Effective E-discovery (http://www.ediscoveryinstitute.org/JudgesGuide/ (Consultado: 11-01-2012), detallamos algunos de los métodos técnicos conocidos para efectuar filtrado de IEA:

• Limitar la búsqueda de términos (palabra clave, expresiones booleanas y sistemas de búsqueda conocidos) a nombre específicos, fechas y código predictivo.

• Limitar hacia archivos específicos (Word, Excel, PDF, etc) filtrado por extensión (.pdf, .docx, .pst, etc)

• Reducir la duplicación de archivos.

• Remover los archivos conocidos del sistema, de las aplicaciones y software base utilizando para ello la lista general de estos archivos provista por el NIST – National Institute of Standard and Technology (para comparar sus respectivas firmas de HASH)

• Revisar cadenas de texto en correos electrónicos.

• Analizar los nombres de dominio

• Establecer una muestra de la IEA disponible para determinar la relevancia para el caso y el costo de su procesamiento.

Conversión de la IEA

La conversión es un proceso de extracción de los datos de usuario, texto o metadata de los archivos que representan la IEA. Durante la extracción se convierten en un formato para ser importados en otras aplicaciones; eventualmente los datos se convierten en imágenes o se imprimen en papel para revelarlos y presentarlos en una corte. Es importante anotar que durante este momento la IEA no se convierta a archivos PDF o TIFF, sin antes cursar la revisión inicial de la relevancia de la misma.

Paso 3: Revisar y analizar

Luego de filtrar la información no relevante, los profesionales del derecho deben revisar los datos seleccionados para determinar los subconjuntos necesarios, que no sean de acceso privilegiado, para responder a lo solicitado. El costo real del descubrimiento electrónico no es la solicitud o la adquisición de datos, sino el costo del profesional que asiste la revisión de la información para almacenar o localizar información confidencial o reservada antes de su revelación.

En este sentido, generalmente este paso se apoya en herramientas informáticas como los sistemas automatizados para soporte de litigios (Automated litigation support systems – ALS), los cuales cuentan con capacidades de búsqueda y acceso a documentos, reorganización de hechos, registro de análisis previos, puntos de vista entre otros, que permiten colaborar con el equipo de apoyo al proceso jurídico.

Paso 4: Revelar y “Formularios o formas”

Para adelantar este paso es importante establecer la forma para recibir o divulgar la IEA. En este contexto, se detallan a continuación algunos criterios relevantes:

• ¿La IEA es susceptible para hacer búsquedas? Los archivos en formato nativo, bases de datos, texto plano, etc. son susceptibles de búsquedas, pero es probable que deban ser convertidos a un formato conveniente para efectuar las mismas.

• ¿La metadata de la IEA está incluida en el formato? Existen algunos formatos de archivo que no contienen metadata.

• ¿Es posible identificar o resaltar la información privilegiada o confidencial? En los archivos con formato nativo, no es posible identificar esta información sin cambiar el archivo. Es viable con algún código o funcionalidad indicar que la información confidencial se ha retirado electrónicamente.

• ¿Es posible sellar los documentos a ser divulgados? Se recomienda utilizar firma digitales o algoritmos de hash para asegurar la autenticidad de los documentos requeridos para presentarse.

Es importante anotar que si la contraparte en su requerimiento no especifica la forma o formularios para producir la IEA, la otra debe producir o entregarla en la forma o con los formularios con los cuales ordinariamente administrada o razonablemente utilizada. Por tanto, la otra parte no debe producir o entregar la misma IEA en más de una forma.

Paso 5: Presentar

Este es el paso final, que incluye la planeación de la presentación de la evidencia siguiendo el procedimiento legal establecido. Para ello, debe considerar los equipos de apoyo disponibles en recinto de las audiencias, asegurando que se cuenta con el software y hardware requerido para ilustrar con detalle lo requerido durante el despliegue de la presentación.

En razón con lo anterior, resulta conveniente desarrollar al interior de las organizaciones una política o lineamiento corporativo relacionado con la información electrónicamente almacenada de tal forma que se identifique sus periodos de retención, los procedimientos asociados y la persona encargada de la IEA, que permitan recuperar su información para reconstruir los eventos relacionados con reclamaciones o solicitudes que impliquen algún tipo de proceso en el contexto jurídico o empresarial.

Retos emergentes para el descubrimiento electrónico

Avanzar en una estrategia corporativa de descubrimiento electrónico, define un reto en sí misma dado que se hace necesario vincular al menos tres vistas que permitan sintonizar los esfuerzos para beneficio de la organización: el negocio, la tecnología de información y los referentes de conservación y archivo. Cada uno de ellos, establece connotaciones particulares que articuladas en el proceso de sustentación de pruebas informáticas, fortalece y asegura la posición de la organización frente al ciclo de vida del descubrimiento electrónico.

En razón con lo anterior, se presentan tres retos claves (CORPORATE EXECUTIVE BOARD 2011) para considerar a nivel organizacional con el fin de visualizar los aspectos sensibles que deben mantenerse en la agenda de los responsables organizacionales de asegurar una posición apropiada de la empresa frente a litigios con información electrónicamente almacenada.

1. Mapa de datos e información de la organización

Este es un elemento crítico frente al descubrimiento electrónico. Contar con un inventario o mapa de información de una empresa, exige de ésta un alto nivel de madurez en conservación y archivo, así como la declaración de la información como un activo de la corporación. Mientras esto no sea la constante, las organizaciones mantendrán un espíritu reactivo frente a requerimientos legales con registros electrónicos.

2. Información almacenada o residente dentro de dispositivos móviles o en equipos propios de terceros que prestan servicios

Con la alta penetración de dispositivos electrónicos móviles como teléfonos inteligentes y tabletas, las organizaciones cambian su forma de movilizarse frente a la IEA. Ahora la información no permanece en los equipos de cómputo personal, sino que viajan en los medios móviles, generalmente sin un control definido y bajo la responsabilidad del usuario del dispositivo tecnológico. Sin una adecuada orientación y guía en la empresa en este tema, muchas serán las brechas sobre fuga y/o pérdida de información que se reportarán en las empresas.

3. Información generada y distribuida a través de redes sociales

La expresión natural de los seres humanos, ahora a través de la web 2.0, es una característica nativa de los ciudadanos en la red. Por tanto, es claro que los empleados de una organización mantengan estrecha relación con sus comentarios y apreciaciones publicadas a través de sus blogs y redes sociales. En razón con lo anterior, controlar o asegurar este tipo de información, o mantener su trazabilidad, se convierte en un reto de confianza, ética y procedimientos empresariales, que los trabajadores deben asumir con toda la formalidad del caso, para limitar posibles acciones o declaraciones que puedan atentar contra el buen nombre o imagen de la corporación.

Reflexiones finales

Cuando hablamos de evidencia digital en el contexto empresarial generalmente la podemos asociar con aquella requerida para sustentar o probar algún evento, acción o situación organizacional que permita tener la certeza de que algo ha ocurrido, para lo cual el artefacto tecnológico que la produce, cuenta con las estrategias de seguridad y control requeridas para conocer de primera mano el usuario, sus perfiles, los procedimientos asociados y los mecanismos de monitoreo que acompañan el uso del mismo.

Sin embargo, esta realidad solamente se hace evidente cuando un hecho desafortunado ocurre, particularmente asociado con un incidente de seguridad de la información que manifiesta alguna vulnerabilidad, falla o error en algún momento o accionar de los sistemas de información disponibles en la organización. En este sentido, las investigaciones informáticas se convierten en las primeras solicitantes de información para esclarecer los hechos acontecidos y es allí, cuando la computación forense toma la mayor relevancia como esa disciplina especializada que revisa y analiza sistemas informáticos y dispositivos electrónicos que generan, procesan y almacenan evidencia electrónica para determinar la ocurrencia del hecho y dar la explicaciones científico-técnicas de lo que ha ocurrido.

De otra parte y tan relevante como encontrar a los atacantes, sus rastros y acciones realizadas, se tiene el descubrimiento electrónico como la estrategia legal informática de la organización, que permite proteger los intereses de ésta, frente a litigios o reclamaciones, donde los soportes documentales solicitados se encuentran en formato electrónico y se hace necesario aportarlos siguiendo las formalidades de ley requeridas y mantener la vista del proceso en los hechos y no en las evidencias electrónicas que se aportan al mismo.

En consecuencia, no solamente se requiere una vista criminalística sobre la evidencia digital en las organizaciones, sino una vista legal informática que, recabando en los riesgos propios de las empresas en sus diferentes relaciones de negocio, corporativas y con terceros, pueda establecer los elementos documentales electrónicos que soportan las mismas y prepararse para enfrentar un eventual proceso jurídico donde la información electrónicamente almacenada es factor determinante para lograr un fallo a favor o en contra de ésta.

Finalmente, el descubrimiento electrónico como disciplina emergente que busca una comprensión más sistémica de la evidencia digital, más allá de los procesos propios de la justicia criminal, requiere mayor investigación y relevancia para que pasando de una vista focalizada en los aspectos civiles del derecho, se incorpore al ordenamiento jurídico general de las naciones, como factor clave de éxito en la formulación de modelos de administración de evidencia digital tanto en el sector público como privado.

Referencias

ARKFELD, M. (2011) Electronic discovery and evidence. 2011-2012 Edition. LawPartner Publishing, LLC.

ARKFELD, M. (2011b) Guide for legal hold. LawPartner Publishing, LLC.

CANO, J. (Autor y Coordinador) (2010) La evidencia digital y el peritaje informático en Colombia. Editorial Temis – Uniandes.

CORPORATE EXECUTIVE BOARD (2011) E-discovery tools. IREC Executive cheat sheet series. Disponible en: http://www.irec.executiveboard.com (requiere suscripción)

CORPORATE EXECUTIVE BOARD (2011b) The IT Manager’s guide to E-Discovery. Information Risk Executive Board Council. Disponible en: http://www.irec.executiveboard.com (requiere suscripción)

FULBRIGHT y JAWORSKI (?) eDIG: E-Discovery and Litigation Readiness. Disponible en:

http://www.fulbright.com/index.cfm?fuseaction=description.subdescription&site_id=1197&id=1195 (Consultado 15-10-2012)

INFORMATION SECURITY FORUM - ISF (2008) ISF Briefing: Electronic Evidence. Documento interno Disponible en: https://www.securityforum.org/whatwedo/publicresearch/ (Requiere suscripción)

Peritos Informáticos. Testigos expertos frente a la inseguridad de la información

Introducción

Cada vez más escuchamos que se adelantan procesos jurídicos donde se solicitan elementos materiales probatorios informáticos como parte de los componentes requeridos para identificar lo que realmente ocurrió. En este contexto, al igual que en la realidad norteamericana se hace necesaria la participación del “computer expert witness” o lo que en nuestro ordenamiento jurídico denominamos “peritos informáticos” o "expertos en informática forense" según reza el artículo 236 del Código de procedimiento penal Colombiano, Ley 906 de 2004.

Siguiendo una serie de reflexiones publicadas por Bruce A. Olson (ver referencias), experimentado abogado y especialista en computación forense, vamos a revisar algunas consideraciones claves que los “peritos informáticos” deben tener en cuenta para participar de manera adecuada en el desarrollo de audiencias y juicios donde se presenten materiales o componentes informáticos.

Un perito informático, de acuerdo con las reglas federales para manejo de la evidencia de USA, se define como “testigo calificado que por su conocimiento, habilidades, experiencia, entrenamiento o educación puede declarar o dar una opinión sobre una materia técnica, científica o especializada…”, el cual está allí para asistir al jurado y los participantes de la audiencia en el entendimiento de la evidencia y así establecer las claridades requeridas para tomar las decisiones respecto del caso en estudio.

En consecuencia con lo anterior, las reglas federales previamente mencionadas detallan las exigencias propias que deben considerarse en la opinión del perito informático, como son: “1. El testimonio deben estar basado en la suficiencia de hechos y datos, 2. El testimonio es producto de principios y métodos confiables y finalmente 3. El testigo ha aplicado los principios y métodos de manera confiable a los hechos de caso.” Por tanto, el perito informático califica como un profesional acreditado que utilizando el método científico es capaz de verificar o no hipótesis o cuestionamientos particulares siguiendo las exigencias de la disciplina científica; nunca para encontrar la verdad, que es algo que escapa al método en sí mismo. (*)

Acreditando al testigo experto en informática

En este sentido, parte del proceso que se surte en un proceso judicial es la acreditación de nuestro testigo experto, para lo cual Olson establece algunas características y condiciones básicas que permitan adelantar esta fase sin mayores dificultades. En primer lugar, al entregar su hoja de vida, asegure que todo lo que está allí es real y es susceptible de verificarse, pues su contraparte revisará cuidadosamente todas sus credenciales para evidenciar cualquier inconformidad o inconsistencia. Seguidamente, si cuenta con publicaciones efectuadas (las efectuadas en los últimos diez años), adjunte las mismas preferiblemente solicitándolas directamente al editor de la revista o cuerpo editorial de la publicación, de tal forma que pueda preparar un “dossier” claro y preciso que pueda ser revisado por un tercero.

De otro lado, entregue la información relacionada con sus títulos académicos y formación adicional que tenga; con las certificaciones indique la fuente de las mismas, la forma como se obtuvo, quien fue el patrocinador de la misma (si así ha sido) y la duración del entrenamiento. Así mismo, el detalle de su experiencia laboral, detallando la empresa, cargo desempeñado, logros particulares y motivos por los cuales se terminó el contrato con la empresa (si así ha sido). Recuerde, que todo esto será objeto de revisión, investigación y escrutinio por parte de la contraparte. Por tanto, prepárese para enfrentar cualquier cuestionamiento sobre algún inconveniente que haya tenido en su pasada vida laboral, pues deberá responder frente a la audiencia por los mismos, si hubiere lugar.

Finalmente si hubiese participado en otros casos semejantes, tenga en cuenta en cuales, el número del proceso y los expedientes concretos para mantener la trazabilidad de sus participaciones y testimonios, los cuales igualmente serán revisados por terceros.

Presentando los hechos analizados

Una vez se encuentra acreditado el “computer expert witness”, se debe asegurar una estrategia metodológica para presentar su informe científico sobre los hechos revisados, de tal forma, que siga las exigencias propias del testimonio de los expertos (ver (*)). En esta línea, Olson sugiere que el perito informático desarrolle su presentación con los siguientes elementos:

1. Inicialmente basado en su formación académica y entrenamientos, establezca los elementos conceptuales sobre los cuales se basa su reporte.

2. Presente los hechos fundamentales que fueron objeto de sus análisis.

3. Detalle y describa los procedimientos aplicados, técnicas de verificación y herramientas tecnológicas utilizadas.

4. Detalle el proceso de verificación de la toma de los datos informáticos y las condiciones en las cuales se adelantó dicho proceso.

5. Presente el análisis de los datos recolectados frente a los hechos de la investigación.

6. Entregue las conclusiones relacionadas con los hechos investigados.

Es importante que el perito tenga en cuenta que podrá ser controvertido por su contraparte, para comprometer la credibilidad de su informe y las opiniones que allí se encuentran establecidas. Por tanto, usted deberá sujetarse a los hechos y mantener la tranquilidad que la da la aplicación sistemática y científica de sus métodos, los cuales podrán ser revisados por cualquier persona y llegar a conclusiones equivalentes.

Al igual que en Colombia, en Norteamérica es claro que la participación de un especialista en temas de tecnología en un proceso jurídico, puede darse de dos formas: experto consultado o testigo experto. En el primer caso, es un llamado que le hace la corte al profesional para que ilustre a la audiencia sobre conceptos o claridades técnicas requeridas, que particularmente en el caso de USA, no es necesario que se conozca la identidad del mismo. En el segundo caso, el testigo experto hace parte del caso, sus informes son opiniones que se adjuntan al expediente y son susceptibles de verificación y controversia. En Colombia, el perito informático puede ser objeto de recusación (ver artículos 150, 151 y 152 de Código de Procedimiento Civil – disponible en: http://www.secretariasenado.gov.co/senado/basedoc/codigo/codigo_procedimiento_civil_pr005.html ), lo que implica que este profesional se encuentra expuesto durante el proceso, por lo cual se hace necesario contar con seguros de actuación profesional, que protejan a estos auxiliares de la justicia frente a imponderables que puedan afectar sus actividades relacionadas con sus testimonios basados en elementos materiales probatorios informáticos.

El informe pericial

Las reglas federales para el manejo de la evidencia norteamericana establece el contenido mínimo del informe que deben entregar los “computer expert witness”:

1. Una declaración completa sobre las bases y razones que expresadas por el testigo.

2. Los hechos y los datos considerados por el testigo para formarse su opinión.

3. Cualquier documento que haya utilizado para resumir o apoyar su opinión.

4. Las calificaciones académicas del testigo, incluyendo la lista de todas las publicaciones de su autoría en los últimos 10 años.

5. Una lista de los casos en que haya participado y declarado en calidad de experto en juicio.

6. Una declaración del pago efectuado por el análisis realizado y el testimonio en el caso.

Como podemos ver en la justicia norteamericana se exige que este profesional exponga de manera transparente sus conclusiones frente a los hechos, indicando todos los elementos colaterales alrededor de su contratación (si fuese el caso), así como la experiencia que este pudiese tener en casos anteriores. En Colombia, el informe pericial no tiene una estructura establecida por ley, sin embargo, se sugiere considere entre otros elementos los siguientes: (CANO 2009, pág.174-175)

1. Encabezado que identifique de manera clara y concreta, la solicitud efectuada, los participantes, código de identificación del caso, clasificación de la información y nombre de los investigadores.

2. Introducción donde se describa la conducta o hechos que se investigan, los alcances de la pericia y el objetivo mismo de los análisis realizados.

3. Validación y verificación de la cadena de custodia donde se especifica qué se recibe, de quién, en qué fecha, los objetos y sus características, marcas y seriales, peritos que reciben, identificador del caso, entre otros aspectos.

4. Procedimientos de preparación y adecuación de la evidencia recibida donde se detalle el proceso forense, la preparación de los medios, las herramientas utilizadas, la verificaciones del caso y los detalles de los análisis a realizar.

5. Análisis de la evidencia que muestre la ejecución de las herramientas utilizadas sobre las copias autenticadas de las evidencias recolectadas.

6. Hallazgos o hechos identificados como resultado de la aplicación de las herramientas tecnológicas que hablan generalmente de archivos, sitios en los medios, información recuperada, entre otros aspectos.

7. Conclusiones sobre los hechos investigados, sin juicios de valor, basados en los hechos y datos recolectados con las herramientas informáticas establecidas.

8. Firma de los analistas o peritos como forma de refrendar sus hallazgos y procedimientos aplicados sobre el material probatorio entregado.

Como podemos observar, cada una de las vistas establece elementos complementarios que invitan a los lectores a relacionar lo mejor de cada práctica y establecer sus propios formatos que permitan hacer mucho más formal y menos controvertible sus informes periciales frente la exigente crítica de su contraparte.

Declarando en la audiencia

La presentación del informe o declaración del testigo informático experto, es darle la oportunidad a los abogados para hacer todas las preguntas que él o ella quiera, claro está sujeto a las normas del procedimiento establecido, para que el perito responda en consecuencia. Recuerde que no es la oportunidad para decir todo lo que usted sabe del caso, sino la forma puntual y particular en la cual le dará respuesta a las preguntas que se le formulen y la forma en que será interrogado.

En razón con lo anterior, todas las respuestas que el perito detalle y comente serán parte del registro de la audiencia y no habrá momentos previstos para dejar declaraciones “fuera de los registros” de la corte. Esto significa, que todo lo que se mencione durante su intervención tendrá valorado dentro del proceso mismo y será sujeto de contrainterrogatorio si así se decide por alguna de las partes.

En Colombia existen algunas condiciones para interrogar y contrainterrogar al perito, las cuales conviene conocer para estar preparados frente a las condiciones y características que exhiba la contraparte frente a las declaraciones de este profesional:

Ley 906 de 204 Código de Procedimiento Penal (Disponible en: http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=14787)

Artículo 417. Instrucciones para interrogar al perito. El perito deberá ser interrogado en relación con los siguientes aspectos:

1. Sobre los antecedentes que acrediten su conocimiento teórico sobre la ciencia, técnica o arte en que es experto.

2. Sobre los antecedentes que acrediten su conocimiento en el uso de instrumentos o medios en los cuales es experto.

3. Sobre los antecedentes que acrediten su conocimiento práctico en la ciencia, técnica, arte, oficio o afición aplicables.

4. Sobre los principios científicos, técnicos o artísticos en los que fundamenta sus verificaciones o análisis y grado de aceptación.

5. Sobre los métodos empleados en las investigaciones y análisis relativos al caso.

6. Sobre si en sus exámenes o verificaciones utilizó técnicas de orientación, de probabilidad o de certeza.

7. La corroboración o ratificación de la opinión pericial por otros expertos que declaran también en el mismo juicio, y

8. Sobre temas similares a los anteriores.

El perito responderá de forma clara y precisa las preguntas que le formulen las partes.

El perito tiene, en todo caso, derecho de consultar documentos, notas escritas y publicaciones con la finalidad de fundamentar y aclarar su respuesta.

Artículo 418. Instrucciones para contrainterrogar al perito. El contrainterrogatorio del perito se cumplirá observando las siguientes instrucciones:

1. La finalidad del contrainterrogatorio es refutar, en todo o en parte, lo que el perito ha informado.

2. En el contrainterrogatorio se podrá utilizar cualquier argumento sustentado en principios, técnicas, métodos o recursos acreditados en divulgaciones técnico científicas calificadas, referentes a la materia de controversia.

Reflexiones finales y conclusiones

Finalmente el testigo experto informático deberá prepararse no solamente desde el punto de vista técnico frente a su reporte y los cuestionamientos de su contraparte, sino desde el punto de vista psicológico y emocional de tal forma que pueda mantener una posición tranquila y sana frente a las estrategias que el abogado de la defensa o la fiscalía, emprendan para desacreditarlo o desestabilizarlo y debilitar los resultados del informe presentado.

Como hemos podido revisar y advertir, convertirse en un testigo experto en informática o perito informático y someterse el exigente ejercicio de ser un efectivo auxiliar de la justicia en temas de alta tecnología, no solamente requiere el conocimiento técnico propio de la formación académica y la experiencia aplicada del mismo, sino de un estudio profundo del sistema de administración de justicia, su bondades y limitaciones, que le permitan a este profesional, conocedor de los procedimientos y técnicas científicas para el aseguramiento de las pruebas documentales informáticas, entregar los resultados de sus análisis frente a los hechos investigados, para que la verdad procesal brille basada en los hechos y los datos.

Referencias

Artículos de Brian Olson - http://www.dfinews.com/authors/4833

CANO, J. (2009) Computación Forense. Descubriendo los rastros informáticos. Ed. AlfaOmega.

Ley 906 de 204 Código de Procedimiento Penal - Disponible en: http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=14787

Análisis forense digital en la nube: El reto de la inseguridad en un ecosistema tecnológico

Estamos asistiendo a una nueva década dominada por las redes sociales, la computación móvil y la computación en la nube. Esta nueva condición de la sociedad digital, ubica a la información como uno de los elementos más sensible y más apetecidos por todos los participantes de esta realidad interconectada. Nada más cierto que el empoderamiento evidente de jóvenes y niños, que exigen de las redes mayor velocidad, mayor conectividad y renovados contenidos. Así las cosas, la información en movimiento, como la vida misma, es un reto que demanda de los mejores analistas de seguridad de la información, propuestas innovadoras para comprender ahora que significa “estar seguros” en un ambiente de cambio permanente, altamente impredecible, inalámbrico y de operación 7x24x365.

Entender la realidad actual de servicios y conexiones “sin cables”, es actualizar la reflexión de los retos asociados con los elementos materiales probatorios informáticos, medianamente conocidos y asegurados en un contexto cableado. Si encontrar o identificar a posibles atacantes en infraestructuras de configuraciones y flujos de información conocidos, ha sido un reto evidente durante los últimos 10 años, sumergirse en el desafío forense a través de las redes sociales, en medios inalámbricos y administrados por un tercero en la nube, describe una nueva disciplina y nuevos campos de investigación que exigen repensar la informática forense o computación forense en nuevo nivel, con una vista más sistémica, para establecer elementos sistemáticos que permitan avanzar en nuevos procedimientos estandarizados.

En un primer momento, conociendo esta realidad actual, se tiene la tentación de aplicar los procedimientos conocidos y generalmente utilizados para abordar el reto forense a través del trinomio: red social, móviles y la nube, pues al estar cada uno de ellos articulados y fundados en plataformas tecnológicas, suena coherente desarrollar los aseguramientos de evidencia, siguiendo los protocolos establecidos asociados con datos volátiles y no volátiles. Adicionalmente, poder seguir los rastros en cada uno de estos mundos, no debería ser diferente de lo que actualmente se efectúa cuando de investigaciones informáticas se trata.

Pero la realidad del análisis y reto de las investigaciones forenses en este renovado contexto abierto, de flujo de información permanente y ubicua genera más incertidumbres que certezas, más preguntas que respuestas y más imprecisiones que claridades. Mientras la esencia misma de la computación forense es establecer hechos y datos propios de la realidad que se investiga, una revisión de los diferentes actores de este nuevo escenario, nos propone diferentes perspectivas que confrontan los fundamentos de los procedimientos generalmente aceptados para avanzar en el aseguramiento de evidencias en un proceso forense digital.

En esta primera revisión del tema forense en el contexto actual, trataremos de analizar cada uno de los participantes y aquellos elementos críticos que hacen exigente una validación forense digital en medios sociales, apalancados en tecnologías móviles y convenientemente ubicadas en la nube.

Iniciemos con el usuario, con las personas, que cada vez más se advierte una alta dependencia de las redes sociales y consumo de contenidos y servicios en la web. Con el paso del tiempo los hábitos de las personas, particularmente de los niños y los jóvenes han venido migrando de una necesidad natural de interacción cara a cara, a una mediada por la tecnología, con información instantánea y técnicamente de acceso ágil y prácticamente ilimitado. Esto si bien es una gran ventaja para mantenerse actualizado y en movimiento, estamos debilitando la natural exigencia de explorar y revelar nuevas preguntas que forjen los nuevos investigadores del futuro, con hambre de logro, más allá de un click que hable de lo que “hay disponible”. Pero esta es una reflexión que está fuera del alcance de este análisis.

Desde el punto de vista forense, el caminar por las redes sociales es descubrir un perfil de la persona, sus hábitos para compartir información, sus patrones de conexión, las aplicaciones extra que utiliza y los amigos con los cuales más comparte. De igual forma, es detallar sus habilidades para configurar su interacción, los cuidados para aceptar a nuevos amigos y las particularidades de su personalidad que se describen en cada uno de sus publicaciones.

Analizar a un individuo en una red social, es ir más allá de cuál de ellas utiliza, es entender la interacción que existe entre el navegador y el sitio mismo, sabiendo que éste último está en un ecosistema tecnológico, con dependencias identificadas, bien para los servicios ofrecidos para sus usuarios, como para la infraestructura que los soporta. Así las cosas, una vista de la problemática estará en la forma como los terceros que intervienen han sabido estructurar la interacción de sus aplicaciones para ofrecer lo prometido y otra, la forma como la tercera parte mantiene y asegura los servidores y equipos de cómputo sobre los cuales se ejecutan los programas.

Como quiera que entender estas interacciones demanda una comprensión de un ecosistema que se articula en una malla de relaciones técnicas y de información, incorporar a este escenario, los conceptos de movilidad definen una realidad ampliada, que no es posible comprender sólo desde los elementos naturales de las redes inalámbricas y sus servicios, pues éstas representan sólo un medio adicional que se suma a las interacciones del ecosistema tecnológico que tenemos en la actualidad.

Así las cosas, las investigaciones forenses que conjugan las redes sociales y dispositivos móviles, superan las consideraciones actuales que los investigadores puedan tener, para recabar la información requerida con la profundidad necesaria, y así entender, el cúmulo de relaciones y puntos de contacto que son necesarios para encontrar patrones y respuestas a preguntas que se pueden hacer en una operación sin cables y altamente social digital.

Conjugar estas dos tendencias exige de parte del investigador forense reconocer que su entrenamiento actual se queda corto para asistir a la justicia en la persecución de las nuevas y silenciosas tácticas que la delincuencia viene utilizando a través de las redes sociales y los medios inalámbricos. Mientras los “chicos malos” avanzan diariamente en la búsqueda de nuevas opciones y oportunidades para continuar con su imperio del engaño y defraudación, apoyado bien en nuestras malas prácticas, fallas tecnológicas o de las aplicaciones, poco hacemos nosotros el mismo ejercicio de manera sistemática y formal para asegurar lo requerido en las personas, procesos y tecnología.

No contentos con lo anterior, ahora sumamos a la ecuación, por cierto, desde el punto de vista económico y estratégico, claramente positiva y rentable, la realidad de una relación más dependiente y más flexible de articulación de servicios de infraestructura, plataforma y de aplicaciones, lo que se denomina en el mundo tecnológico computación en la nube.

La computación en la nube es el eslabón “que hacía falta” para contar con la facilidad de almacenamiento prácticamente infinito, disponibilidad permanente y movilidad sin restricciones. La nube se convierte en el nuevo paradigma que “hace transparente” la relación entre los usuarios y los proveedores, la promesa de valor de pagar por lo que se usa, de agilidad para contar con lo que se quiere y desplegar los servicios de acuerdo con el cambio de las tendencias del mercado.

Así las cosas, se completa el cuadro de la complejidad que debe atender el nuevo observador forense digital, que consiste en entender primero las relaciones entre el usuario y su red social, luego la red social y los medios inalámbricos y finalmente los servicios tercerizados y sus accesos desde los medios móviles así como las consideraciones de interacción de los usuarios.

Como podemos ver, adelantar una investigación forense en una realidad como la que hemos analizado no es una extensión de lo que conocemos hoy en forensia digital. Es elevar nuestra reflexión general del análisis de datos que soportan los informes técnicos, por un ejercicio de desdoblamiento de la complejidad entendiendo a los actores comprometidos y sus relaciones en una escena virtual que tiene sentido en un escenario real.

De acuerdo con lo anterior, dejamos planteados los elementos base de una revisión de la computación forense en un ecosistema tecnológico, que demanda una estrategia de análisis y entendimiento renovado para retar y confrontar los modelos conceptuales conocidos para adelantar investigaciones forenses en informática.

Referencias

RUAN, K. (2010) Cloud forensics: Challenges and opportunities. Centre for cybercrime investigation. University College Dublin. Disponible en: http://confluence.jetbrains.net/download/attachments/36015346/Cloud+Forensics+-+Challenges+and+Opportunities.pdf (Consultado: 17-07-2011)

WRIGHT, B. (2010) Digital forensics and social media. Disponible en: http://computer-forensics.sans.org/blog/2010/04/20/digital-social-media/ (Consultado: 17-07-2011)

TRIMINTZIOS, P., HALL, C., CLAYTON, R., ANDERSON, R. y OUZOUNIS, E. (2011) Resilience of the Internet Interconnection Ecosystem. Disponible en: http://www.enisa.europa.eu/act/res/other-areas/inter-x/report/interx-report (Consultado: 17-07-2011)