Criminalística digital
La informática forense consiste en averiguar exactamente qué ha ocurrido después de que algo haya salido mal: una filtración, una sospecha de actividad interna o un asunto legal que dependa de lo que realmente muestre un dispositivo o un sistema. Se trata de un trabajo minucioso y probatorio, y debe realizarse de tal forma que resista un escrutinio riguroso, no solo como un rápido vistazo para satisfacer la curiosidad.
La disciplina fundamental consiste en preservar la evidencia antes de que nada más la altere. En el momento en que se examina un sistema de forma descuidada, se corre el riesgo de alterar las marcas de tiempo, sobrescribir los registros o destruir de cualquier otra forma aquello que se está tratando de investigar. Por eso, el primer paso es siempre realizar una copia de imagen adecuada y documentar la cadena de custodia, en lugar de abrir archivos y hurgar en ellos.
Lo que suele abarcar
Reconstrucción de una cronología de lo ocurrido en un sistema comprometido: cuándo se produjo el acceso, a qué se accedió o qué se sustrajo, y cómo se produjo realmente la intrusión. En el caso de las investigaciones de incidentes internos, se trata de establecer lo que realmente ocurrió, de forma defendible, en lugar de basarse en suposiciones o rumores de oficina. En lo que respecta a los asuntos legales, el resultado debe ser algo que realmente pueda presentarse y sostenerse: una metodología documentada, una cadena de custodia preservada y conclusiones que puedan ser reproducidas por otra persona que examine la misma evidencia.
Colaboración con el equipo de respuesta a incidentes
La investigación forense y la respuesta a incidentes están relacionadas, pero son distintas: la respuesta a incidentes (IR) se centra en la contención y la recuperación rápidas; la investigación forense se centra en comprender exactamente qué ha ocurrido, lo que a veces implica ralentizar el proceso en aquellos aspectos en los que la IR desea actuar con rapidez. Yo coordino ambas áreas para que usted disponga de la rapidez que necesita sin destruir la evidencia que le será necesaria más adelante, ya sea para su propia revisión posterior al incidente, una reclamación al seguro o un litigio.
Si se enfrenta a un posible incidente o necesita una investigación fundamentada sobre lo que realmente ocurrió, póngase en contacto con nosotros: cuanto antes se conserve la evidencia, más material habrá con el que trabajar.