Adquisición forense de dispositivos digitales y verificación de integridad

Fundamento

Se hace una copia bit a bit del medio con un bloqueador de escritura de por medio, de modo que el original no se modifique. Sobre el original y la copia se calcula una función hash criptográfica —SHA-256— cuya coincidencia demuestra que la copia es idéntica y que después nadie la alteró. Todo el análisis se hace sobre la copia. En teléfonos, cuando la adquisición física no es posible por cifrado, se documenta el método y sus limitaciones.

Matriz (en qué muestra)

Computadoras; teléfonos; medios de almacenamiento; servicios en la nube

Equipamiento necesario¿Dónde lo compro?

Duplicadora forense con bloqueo de escritura; estación de trabajo con software forense; jaula de Faraday para dispositivos con conectividad; cargadores y cables de todos los tipos.

Reactivos¿Dónde lo compro?

Ninguno.

Material de laboratorio¿Dónde lo compro?

Discos de destino esterilizados digitalmente; bolsas de Faraday; precintos.

Consumibles¿Dónde lo compro?

Discos de destino.

Unidad

Hash SHA-256 (verificación de integridad) · GB adquiridos · % de completitud de la adquisición · método utilizado

Rango de referencia

La adquisición física completa es preferible; la lógica y la de sistema de archivos recuperan menos y sus limitaciones deben declararse

Norma que lo exige

Códigos procesales penales de la Nación y de las provincias, que regulan la prueba pericial y la cadena de custodia; Resolución del Ministerio de Seguridad sobre protocolos de actuación en el lugar del hecho y cadena de custodia de efectos secuestrados; Códigos procesales penales de la Nación y de las provincias, que regulan la prueba pericial y la cadena de custodia; Ley 26.388 de delitos informáticos; Ley 25.326 de protección de datos personales en lo que hace al alcance de la pericianorma internacional

Norma que describe la técnica

ISO/IEC 27037 (identificación, recolección y preservación de evidencia digital) e ISO/IEC 27042; guías de la SWGDE y del NIST Computer Forensics Tool Testingnorma internacional

Edición y vigencia de la norma

ISO/IEC 27037:2012, vigente; guías SWGDE

Volumen de muestra

El dispositivo completo; la adquisición no consume nada pero exige el original

Conservación y transporte

El dispositivo se aísla de toda red apenas se secuestra, con modo avión y bolsa de Faraday: un teléfono conectado puede recibir una orden de borrado remoto y la prueba desaparece. Se documenta el estado en que llegó —encendido o apagado, con o sin batería— porque apagar un equipo encendido pierde la memoria volátil y no apagarlo puede activar cifrados. El hash se calcula antes y después de cada operación y se registra en el acta.

Límite de detección típico

No aplica

Incertidumbre típica

La integridad es binaria: el hash coincide o no coincide, y esa es toda la garantía

Área

Criminalística; Instrumentación y control

Fecha de última actualización: 8/9/2026