Forense digital
Adquisición y análisis de evidencia digital con cadena de custodia — para responder qué pasó, cuándo, y quién, con resultados que sostienen un proceso legal.
- Para quién es
- Organizaciones que enfrentan fraude interno, robo de propiedad intelectual, salida conflictiva de un empleado, disputas laborales o un incidente que puede terminar en tribunales.
- Duración típica
- 2 a 8 semanas según volumen de evidencia
- Marcos de referencia
- ISO/IEC 27037NIST SP 800-86ACPO
El análisis forense responde preguntas que la respuesta a incidentes deja abiertas: no solo qué pasó, sino cómo probarlo ante alguien que va a discutirlo.
Sobre qué trabajamos
- Estaciones de trabajo y servidores — Windows, Linux y macOS: artefactos de ejecución, persistencia, historial de archivos y actividad de usuario.
- Entornos de nube — registros de auditoría, accesos, y actividad en Microsoft 365, Google Workspace y las principales nubes públicas.
- Memoria volátil (RAM) — procesos en ejecución, conexiones activas, código inyectado y credenciales en memoria.
- Tráfico de red — cuando existe captura, análisis de sesiones y reconstrucción de transferencias.
Casos frecuentes
El más común no es el ataque externo sofisticado: es la salida de un empleado con información. Un colaborador renuncia y la organización sospecha que se llevó la cartera de clientes, el código fuente o los planos. El análisis de dispositivos, medios USB conectados, cargas a servicios de nube y actividad de correo suele responderlo con precisión — y con evidencia que sostiene una acción legal, si se preserva a tiempo.
Una advertencia sobre el tiempo
La evidencia digital se degrada rápido. Los registros rotan, el espacio libre se sobrescribe, los dispositivos se reasignan a otro empleado y se reinstalan. Cada día que pasa entre el hecho y la preservación reduce lo que se puede recuperar, y en algunos casos lo elimina por completo.
Si sospecha algo que puede terminar en un proceso legal, preserve primero y decida después. Aislar un equipo y guardarlo cuesta poco; recuperar lo que ya se sobrescribió, en general, es imposible.
Cómo lo ejecutamos
- 01
Preservación
Adquisición forense con bloqueadores de escritura y verificación por hash. El original nunca se analiza: se trabaja sobre copias verificadas.
- 02
Cadena de custodia
Cada transferencia, acceso y análisis queda documentado. Sin esto, la evidencia técnicamente correcta puede ser inadmisible.
- 03
Análisis
Recuperación de archivos eliminados, artefactos de ejecución, historial de conexiones, actividad de usuario y evidencia de exfiltración.
- 04
Reconstrucción de línea de tiempo
Correlacionamos artefactos de múltiples fuentes para reconstruir la secuencia de hechos con marcas de tiempo defendibles.
- 05
Informe y sustento
Documento pericial que explica la metodología con suficiente detalle para que otro perito pueda reproducir los resultados.
Qué recibe
- Imágenes forenses verificadas con hash y documentación de cadena de custodia
- Informe pericial con línea de tiempo reconstruida y metodología reproducible
- Sustento de conclusiones apto para uso en sede judicial o administrativa
- Declaración técnica y acompañamiento pericial si el caso lo requiere
- Recomendaciones para preservar evidencia mejor en el futuro