Por qué las primeras horas deciden el resto del caso
Cuando una empresa detecta un acceso no autorizado, un cifrado de archivos o una transferencia que nadie autorizó, la reacción casi siempre es la misma: contener el daño lo más rápido posible. Es una reacción razonable desde la operación, pero no es la única variable en juego. La evidencia digital es extraordinariamente frágil: un reinicio, una actualización automática o un administrador que revisa "solo para ver qué pasó" pueden alterar registros y metadatos que después son imposibles de reconstruir.
La pregunta que debe hacerse la empresa no es solo "¿cómo volvemos a operar?", sino también "¿qué necesitaremos poder acreditar más adelante?". Ambas preguntas se responden distinto, y quien solo hace la primera suele perder la posibilidad de responder la segunda.
Qué es la cadena de custodia y por qué le importa a su empresa
La cadena de custodia digital es el procedimiento que preserva la integridad de la evidencia desde que se recolecta hasta que se usa en una investigación, de modo que nadie pueda cuestionarla después por manipulación. No es un trámite exclusivo de la policía o los peritos: empieza en la propia empresa, en el minuto en que alguien decide qué tocar y qué no tocar en un equipo comprometido.
Cuando esa cadena se rompe -porque nadie documentó quién accedió al servidor, o porque el disco se formateó antes de copiarlo- la evidencia puede perder valor aunque su contenido sea completamente auténtico. Eso no depende de mala fe: basta con que el orden de las acciones no se pueda acreditar.
Qué preservar antes de tocar nada
La lista siguiente no reemplaza un protocolo de respuesta a incidentes, pero marca el mínimo que una empresa debería resguardar antes de que el equipo técnico empiece a limpiar, reinstalar o restaurar:
- Una copia forense del equipo o servidor comprometido, tomada antes de reinstalar o restaurar cualquier respaldo.
- Los registros de acceso (logs) del sistema afectado, con fecha y hora, incluyendo accesos remotos y administrativos.
- Capturas de pantalla de cualquier mensaje del atacante, nota de rescate o comunicación recibida.
- El registro de quién tuvo acceso al equipo desde que se detectó el incidente, y qué acción tomó cada persona.
- Copias de los correos o alertas que dispararon la detección del incidente.
Ninguno de estos elementos exige detener la operación de la empresa. Exige, sí, que alguien decida conservarlos antes de que el afán de "volver a la normalidad" los haga desaparecer.
Errores que casi siempre cometen los equipos técnicos
No son errores de negligencia; son decisiones razonables tomadas sin la variable legal a la vista. Las más frecuentes:
- Reinstalar el sistema operativo o formatear el equipo comprometido antes de copiarlo.
- Restaurar un respaldo completo sin conservar una imagen del estado en que quedó el sistema tras el ataque.
- Apagar el equipo de inmediato, cuando en ciertos casos la memoria en ejecución contiene información que se pierde al apagarlo.
- Dejar que varias personas accedan al mismo equipo sin registrar quién hizo qué.
Ninguna de estas acciones es incorrecta en sí misma. El problema es el orden: tomadas antes de asegurar la evidencia, cierran opciones que después ya no se pueden recuperar.
Cuándo activar al equipo legal, y por qué no debería ser después
Desde el momento en que existen antecedentes de un acceso ilícito o de un ataque a la integridad de un sistema informático, conductas que la Ley N° 21.459 tipifica, el incidente deja de ser exclusivamente tecnológico y adquiere una dimensión penal. Eso no significa que toda empresa deba judicializar cada incidente, pero sí que la decisión de hacerlo -o de no hacerlo- se toma mejor con asesoría desde la primera hora, no después de que la evidencia ya se perdió.
La coordinación temprana entre el equipo técnico y el equipo legal permite que ambos trabajen en paralelo: mientras uno contiene el incidente, el otro resguarda lo que puede necesitarse después, sin que eso signifique tomar por él ninguna decisión operativa.
Ninguna de estas medidas asegura que se identifique a un responsable ni el resultado de una eventual investigación: eso depende de cada caso concreto. Lo que sí está en manos de la empresa es no cerrar esa puerta en las primeras horas por decisiones tomadas sin la información completa.
Preguntas frecuentes
¿Por qué no basta con que el equipo de TI resuelva el incidente?+
Porque el objetivo de TI es que el sistema vuelva a funcionar, y el objetivo de la evidencia es que se pueda usar después ante el Ministerio Público o un tribunal. Ambos objetivos chocan en la primera hora: reinstalar, restaurar un respaldo o apagar un equipo puede devolver la operación a la normalidad y, al mismo tiempo, borrar el rastro técnico que permite reconstruir lo ocurrido. Por eso la respuesta técnica y la respuesta legal deben coordinarse desde el primer momento, no en secuencia.
¿Qué es exactamente la cadena de custodia digital?+
Es el registro ordenado de quién tuvo acceso a una evidencia digital, cuándo, y qué hizo con ella, desde el momento en que se recolecta hasta que se presenta en una investigación. Su función es que nadie pueda cuestionar después que la evidencia fue alterada o manipulada. Sin ese registro, un disco duro o un archivo de registros puede perder todo su valor probatorio aunque su contenido sea auténtico, simplemente porque no se puede acreditar que no fue modificado.
¿Se puede seguir operando mientras se preserva la evidencia?+
En la mayoría de los casos sí, si se actúa con orden. Preservar evidencia no significa detener toda la empresa: significa aislar y copiar lo comprometido antes de limpiarlo, documentar cada paso y no tomar decisiones irreversibles -como reinstalar el servidor afectado- sin haber asegurado antes una copia forense. La contención técnica y la preservación de evidencia pueden avanzar en paralelo si hay un protocolo definido de antemano.
¿Cuándo conviene llamar a un abogado y no solo al proveedor de TI?+
Desde que existen antecedentes de acceso ilícito, ataque a la integridad de un sistema o fraude informático, el incidente deja de ser exclusivamente técnico y adquiere una dimensión penal. Llamar al abogado en paralelo con el proveedor de TI, y no después de que este ya intervino, es lo que permite que las decisiones tomadas bajo presión -pagar o no, qué reinstalar, a quién avisar- se tomen sabiendo qué puede comprometer una eventual investigación.
Donde comprobarlo
Este articulo se apoya unicamente en fuentes oficiales. Si quiere ir al texto original:
Este articulo fue preparado por HM Legal a partir de fuentes oficiales, pero es informacion general y no constituye asesoria legal para un caso concreto. HM Legal es un estudio juridico privado y no tiene relacion con la Policia de Investigaciones, el Ministerio Publico ni la Agencia Nacional de Ciberseguridad.