Vas a entregar una imagen de disco forense al departamento legal. ¿Qué garantiza su integridad y admisibilidad?

Cuando una prueba puede acabar en los tribunales, dos preguntas deciden su valor: ¿puedes probar que no ha cambiado desde la adquisición, y puedes dar cuenta de todos los que la manipularon? Tres controles responden a esas preguntas, y un respondedor competente los aplica los tres.

Qué garantiza realmente la integridad y la admisibilidad

• El hash criptográfico. Calcula un hash (por ejemplo, SHA-256) de la imagen en el momento de la adquisición. Recalcularlo más tarde y obtener el mismo valor prueba que la imagen está inalterada bit a bit. Una discrepancia es una señal de alarma; una coincidencia es tu prueba de integridad.
• La cadena de custodia documentada. Un registro firmado de quién recogió la prueba, cuándo, y cada transferencia posterior. Demuestra que la imagen nunca estuvo en posición de ser manipulada sin trazabilidad — lo que la hace admisible.
• Trabajar sobre una copia verificada, nunca el original. Adquiere con un bloqueador de escritura, verifica el hash de la copia contra la fuente, y realiza todo el análisis sobre la copia. El original queda intacto y reverificable.

Por qué fallan los distractores

• «No se necesita nada en particular» ignora toda la base de la prueba digital; un abogado contrario la haría excluir de inmediato.
• «Renombrar el archivo con algo de sonido oficial» es teatro cosmético — un nombre de archivo no prueba nada sobre el contenido ni la manipulación.
• «Comprimirla para ahorrar espacio en disco» confunde la comodidad de almacenamiento con los controles probatorios; la compresión no prueba la integridad ni establece la custodia, y un manejo descuidado durante ella puede alterar o poner en peligro la prueba.

Qué está evaluando el entrevistador

Si entiendes que el valor forense es un proceso — hashear, documentar, preservar el original — y no una propiedad del archivo en sí. Tocar el original o saltarse el hash invita a impugnaciones por destrucción de pruebas que pueden hacer que se descarte la evidencia, echando por tierra toda la investigación. Quieren el instinto de proteger el original y probar la integridad en cada paso.