Proceso
Las siete etapas habituales
- Identificación: definir sistemas, cuentas, archivos y pregunta técnica.
- Preservación: conservar originales, accesos y contexto antes de tocar más.
- Adquisición: obtener copias o exportaciones de forma controlada.
- Análisis: revisar datos con criterios proporcionales al caso.
- Contraste: comprobar hipótesis alternativas y coherencia temporal.
- Informe: explicar método, evidencias, límites y conclusiones.
- Cierre: documentar entregables, dudas pendientes y acciones posteriores.
Diagnóstico rápido
Ubica tu fase antes de seguir
Control de calidad
Qué debería salir de cada fase
| Fase | Salida útil | Error frecuente |
|---|---|---|
| Identificación | Pregunta técnica, sistemas implicados y alcance inicial | Analizar todo sin saber qué se busca |
| Preservación | Originales separados, copias de trabajo y registro de acciones | Seguir usando el dispositivo sin anotar cambios |
| Adquisición | Exportaciones o copias controladas según el caso | Mezclar originales, capturas y notas personales |
| Análisis | Hallazgos vinculados a evidencias concretas | Confirmar una sospecha sin contrastar alternativas |
| Informe | Método, evidencias, límites y conclusiones proporcionadas | Usar lenguaje rotundo cuando los datos no bastan |
| Presentación | Resumen comprensible, anexos localizables y grado de certeza | Entregar un documento difícil de seguir o sin trazabilidad |
| Cierre | Dudas pendientes, acciones posteriores y material preservado | Borrar originales o mezclar entregables sin registro |
La calidad del informe depende de que cada fase deje una huella entendible.
Qué aporta cada etapa
No empieces por la herramienta
La tentación es instalar una aplicación y buscar resultados inmediatos. En análisis forense, eso puede alterar datos o crear ruido. Primero conviene saber qué se intenta responder, qué material existe y qué puede desaparecer si se sigue usando la cuenta, la web o el dispositivo.
Preservar no es analizar
Preservar significa mantener la información disponible y explicar su origen. Analizar significa interpretarla con método. Mezclar ambas fases provoca problemas: se modifican archivos, se pierde contexto o se olvida qué acción generó cada cambio.
Fases o etapas: qué cambia en la práctica
Algunas guías agrupan el proceso en cuatro o cinco fases; otras separan identificación, preservación, adquisición, análisis, presentación y cierre. La diferencia no debería confundir al usuario: lo importante es que antes de analizar exista una pregunta técnica, una fuente concreta, una copia de trabajo y un registro de acciones.
Web, correo y cuentas necesitan contexto
Un correo exige cabeceras y adjuntos; una página web exige URL, fecha y estado visible; una cuenta exige sesiones, avisos y cambios de recuperación. El proceso es parecido, pero la evidencia útil no es idéntica. Por eso la primera fase debe traducir el problema a fuentes concretas.
Qué hacer si ya tocaste algo
Si respondiste mensajes, cambiaste una contraseña, restauraste una copia o seguiste navegando, no intentes ocultarlo. Anota la acción, la hora aproximada y el motivo. Ese registro no arregla una evidencia débil, pero permite separar hechos originales de cambios posteriores.
El informe no debe ser una sorpresa
Si la pregunta, evidencias y límites estuvieron claros desde el inicio, el informe debería ser comprensible. Debe enlazar cada conclusión con observaciones concretas y reconocer cuándo los datos no permiten afirmar algo con seguridad.
Preguntas rápidas sobre las fases
¿Cuáles son las fases mínimas?
Como mínimo debe haber identificación, preservación, adquisición o recolección, análisis y presentación de resultados. En casos prácticos conviene añadir contraste de hipótesis y cierre, porque ayudan a evitar conclusiones precipitadas.
¿Qué fase suele fallar más?
La preservación. Muchas evidencias se debilitan porque se siguen usando cuentas, se borran mensajes, se reinstalan equipos o se guardan capturas recortadas sin URL, fecha ni contexto.
¿Cuándo empieza el análisis real?
Empieza cuando ya existe una fuente definida y una copia o exportación razonablemente controlada. Si todavía no se sabe qué cuenta, archivo, correo, web o dispositivo se revisa, el caso sigue en identificación.
¿Qué aporta a una empresa?
En una empresa el análisis no solo busca una causa técnica. También ayuda a decidir qué accesos cerrar, qué proveedores revisar, qué registros conservar y qué controles documentar para no repetir el incidente.
Fuentes consultadas
Fuentes y referencias
Consulta referencias útiles para ampliar o contrastar esta guía.
Siguiente lectura
Guias relacionadas para continuar
Si quieres seguir con el mismo tema, aqui tienes paginas cercanas que amplian la tecnica, comparan variantes o te llevan a la siguiente rutina.
