TALLE INFORMÁTICA FORENSE
Caso práctico de captura de evidencias digitales
Los tres ayuntamientos de los pequeños municipios que forman la Mancomunidad
X se han visto implicados en un presunto caso de corrupción por desvío indebido
de fondos FEDER a favor de la Mancomunidad de Servicios (gestión de basuras). El
actual Presidente de la Mancomunidad, el recientemente elegido nuevo Alcalde
del principal de esos tres municipios implicados, da orden de desconectar los dos
ordenadores que se utilizan habitualmente para gestionar todos los asuntos de la
Mancomunidad, y de llevarlos metidos en unas cajas al almacén del Ayuntamiento
para preservarlos de cualquier manipulación.
Al día siguiente aconsejado por un vecino que sabe de informática, vuelve a traer
los ordenadores y a enchufarlos, si bien ordena conectar a los mismos una memoria
externa SSD para así sacar una copia del disco duro de ambos ordenadores. Tras
ello deja los ordenadores enchufados en su sitio original para que los funcionarios
puedan seguir trabajando mientras la memoria externa con todos los datos de
sendas copias almacenados en ella, la hace llevar al cuartel de la Guardia Civil del
pueblo de al lado para su custodia.
Basados en la situación narrada responder las siguientes preguntas y argumentar
sus respuestas:
¿Actuó el Alcalde conforme a Derecho?
No, puesto a que no se inicio una investigación penal por parte con el fin de dar
apertura al delito contra la administración publica (titulo XV del código penal, en
su articulo 434) que se ajusta a la malversación de fondos, para que asi mismo
dentro del proceso se incorporara como medio probatorio la evidencia digital
contenida en los computadores descritos en el caso.
Además, se altero el medio de prueba, yendo en contravía al principio de
integridad de la prueba, en cuanto para su análisis se debe en un primer lugar
realizar una identificación del suceso, verificar si existe la necesidad de realizar el
procedimiento de evidencia digital, minimizar la perdida o alteración de datos,
llevar bitácoras de las acciones, anlizar datos recolectados y realizar reporte de los
hallazgos, por otro lado, en razón a que la investigación y acusación es propia del
Sistema Penal Acusatorio y se soporta en la preservación de las evidencias físicas y
los elementos materiales probatorios, resulta necesario considerar la trascendencia
de la cadena de custodia desde la recolección de los medios de prueba y la
evidencia hasta su presentación en audiencia.
¿Se garantizó en su actuación el principio de custodia de la prueba?
No, primero que todo con la cadena de custodia lo que se asegura es que el
material probatorio no ha sido alterado desde el momento de su recolección hasta
su análisis y presentación.
Además, con la cadena de custodia, se garantiza la integridad, autenticidad,
localización, trazabilidad y preservación de la evidencia, en este caso los
ordenadores al no haber sido sometidos a este proceso por parte de la policía
judicial desde el momento de su recolección ya que desde un inicio se manipulo
los computadores indebidamente, se volvieron a introducir los mismos sin tener en
cuenta que la información podía ser alterada posteriormente por los empleados.
Cabe recalcar que, la cadena de custodia demuestra que se han aplicado los
procedimientos estandarizados para asegurar también la continuidad y registros
de los mismo, aplicando unas normas tendientes a asegurar, embalar y proteger
cada elemento material probatorio para evitar su destrucción, suplantación o
contaminación (como ocurrió en este caso en donde los empleados volvieron a
utilizar los equipos ya sea para labores propias de su función o alterar datos
importantes para la investigación), lo que podría implicar serios tropiezos en la
investigación de una conducta punible.
El manejo de los elementos de prueba se hará siempre teniendo en cuenta el tipo
y naturaleza del elemento y se realizará conforme con los procedimientos de
cadena de custodia en lo que tiene que ver con la preservación de la originalidad
e inalterabilidad del elemento. De igual forma, se velará por la protección al
medioambiente y la integridad de las personas que se encontraren en ese
momento o en posteriores, en contacto directo o indirecto con elemento. La
responsabilidad sobre el manejo del elemento de prueba será individual de quien
lo manipule, por lo cual se exigirá que demuestre idoneidad y destreza para la labor
por realizar.
¿Dónde falló y qué debería haber hecho?
Fallo en no denunciar el hecho, para que investigaran la conducta punible, por lo
tanto, todo lo que hizo fue erróneo ya que no garantizo una cadena de custodia y
si bien es cierto que en una memoria externa realizo una copia del disco duro, no
se realizó el procedimiento desde la evidencia original por parte de un experto.
De igual manera, previo a la iniciación del procedimiento de evidencia digital, es
necesario verificar que el evento que está siendo reportado, es realidad un
incidente que atenta contra la confidencialidad, integridad o disponibilidad de la
información. Esta labor es realizada en el proceso de evaluación y decisión de
incidentes. Una vez se confirma la autenticidad, es necesario también determinar
si dicho incidente requiere o no de un análisis forense (procedimiento de evidencia
digital). Una vez se definen estas condiciones, se debe proceder con la primera
fase.
Por otra parte, se debe resaltar y reconocer que las formas de cometer fraudes día
a día se hacen más complejas, se tecnifican y son realizadas por diferentes niveles
de la organización; es allí donde el trabajo del Funcionario Público debe estar en
condiciones para aplicar y recomendar diferentes técnicas y procedimientos que
permitan detectar y prevenir el fraude. Estarán enfocadas al diseño de
conocimiento integral de la empresa, condiciones éticas de los administradores,
alertas oportunas sobre acciones de fraude, estrategias para la identificación,
administración y control del fraude que incluyan impacto y factores asociados,
esquemas de monitoreo preventivo y el diseño de indicadores, entre otras.
2. Realizar la lectura del documento PDF Adjunto “Análisis forense de sistemas
informáticos” desde la página 43 hasta el final del documento. Se deben identificar
los componentes de un Informe de análisis forense y la información que contiene
cada uno de ellos.
Sobre cada uno de los componentes se debe realizar su descripción detallada y
análisis de variables y escenarios contemplados para cada una de ellas.
