LA PERICIA FORENSE DIGITAL UN CAMPO INCOMPRENDIDO POR LA JUSTICIA LA PERICIA FORENSE DIGITAL: UN CAMPO INCOMPRENDIDO POR LA JUSTICIA PÁGINA |2 El debate entre abogados jueces y fiscales por tratar de comprender el mundo de la PERICIA FORENSE DIGITAL, termina en un acalorado debate de quien tiene la razón y sino, del factor erróneo de comparar procesos del mundo real dentro del mundo virtual y les voy a explicar por qué. La falta de conocimiento y el poder diferenciar que es una evidencia digital Vs. Evidencia Electrónica Vs. una evidencia certificada, en donde cada una de ellas tiene su propia identidad, que por otro lado, vienen a chocar contra el modelo de recolección de evidencias físicas en la cual menos del 42% de sus procesos no aplican al modelo de recolección establecido por las normas internacionales en Computo Forense. Es muy típico escuchar a un abogado, juez o fiscal decir “las evidencias electrónicas que posee el implicado” y en la realidad fue un solo disco duro (evidencia electrónica o mejor conocida como evidencia física), pero cuando nos referimos a las evidencias no tangibles o evidencias digitales, es aquí donde comienza la gran confusión y la falta de un conocimiento básico sobre el tema. Las evidencias electrónicas (evidencias físicas - tangibles) son más fáciles de procesar pues se apegan a los procesos de recolección de evidencias que posee cualquier institución de investigación en Latinoamérica a excepción de unas pocas normas que cumplir como “el orden de volatilidad” y el “Estado del Ordenador (on/off)” así como el mantener la autenticidad de la evidencia digital. Toda evidencia electrónica lleva consigo un trabajo de mucha responsabilidad por parte de la persona que hace la sustracción IN SITUS de las evidencias Conocido como Primer Respondiente O DFIR (Digital Forensics and Incident Response). Esta persona es una experta en la sustracción de las evidencias tanto electrónicas como digitales que luego pasaran a ser evidencias CERTIFICADAS ya que él, el DFIR, es un Perito Forense Digital que tiene el conocimiento no solo de como realizara la sustracción de las evidencias, sino que además, conoce todo el proceso de cadenas de custodias (CoC) físicas y electrónicas que debe de aplicar. El DFIR es un elemento tan importante en las cinco fases de la Informática Forense por que pesa todo el trabajo crítico de manejo, sustracción, almacenamiento y traslado de las evidencias que dentro del proceso se convertirán en Pruebas. José Leonett. Observatorio Guatemalteco de Delitos Informáticos – OGDI | www.ogdi.org LA PERICIA FORENSE DIGITAL: UN CAMPO INCOMPRENDIDO POR LA JUSTICIA PÁGINA |3 Así que el DFIR tiene una enorme responsabilidad de evitar que todo el proceso de recolección de evidencias llegue a considerarse viciado (teoría del fruto del árbol envenenado = comienza mal, terminal mal), por lo tanto el DFIR debe de mantenerse en constante entrenamiento y simulando escenarios complejos para la recolección de evidencias y aclaro, esto no solo es para el sector judicial, muchos errores ocurren también en los entornos corporativos por el desconocimientos de protocolos y normativas ante incidentes informáticos que dejan revelado en sus procesos la total carencia y desconocimiento del proceso pericial en sus planes de contingencia ante incidentes informáticos y acá me detengo a explicar un poco sobre este tópico. Hoy día, el trabajo DFIR en el ámbito corporativo, lo está adquiriendo el e-discovery y es triste que he escuchado a e-discoverys emergentes en el área que no tienen la suficiente experiencia decir “lo que nosotros hacemos no es como lo hace la vieja escuela” y realmente estas son declaraciones inmaduras u otras como “eso de las leyes en las investigaciones digitales corporativas no sirven para nada” o ”los peritos digitales solo ven temas de pornografía infantil”, esto deja en tela de juicio no solo el profesionalismo, sino la ética y los principios científicos investigativos que todos los Peritos Forenses Digitales debemos de realizar. Aquí estamos ante una nueva generación inculta y carente de carácter y conocimiento en materia de investigaciones digitales asociadas al cómputo forense. Como reseña, la Informática Forense nace en una unidad de Criminalística del FBI en los años ochenta, por lo tal somos conocidos como la criminalística computacional y aunque se llama “Informática Forense” no pertenecemos al ámbito forense, ya que somos una ciencia auxiliar de la ciencia Forense, pero, se trabaja bajos las normas ISO 27037 en recolección de evidencias digitales con el roll de Peritos Forenses. Decir que no trabajamos a la par de la ley es dejar en manos de inexpertos, investigaciones serias en ambientes corporativos que terminaran en una sala de audiencia desestimando todo el trabajo que bajo ignorancia profesional se realizó. Y aquí quiero aclarar un punto, no es lo mismo un DFIR que un e-discovery. El primero tiene la responsabilidad que todo el trabajo se efectué de manera correcta apegada a protocolos, normas y leyes que rigen el José Leonett. Observatorio Guatemalteco de Delitos Informáticos – OGDI | www.ogdi.org LA PERICIA FORENSE DIGITAL: UN CAMPO INCOMPRENDIDO POR LA JUSTICIA PÁGINA |4 proceso y el ambiente donde esté realizando la expertices, mientras, los e-discovery trabajaran temas relacionados con delitos de alta tecnología (malware, ramsonware, intrusiones, etc) pero en un 92% de los casos, no conocen los protocolos, normas, procedimientos y mucho menos las leyes que rigen el manejo de cadenas de custodias digitales y electrónicas, así como como el tratado de las evidencias digitales obtenidas. Pongamos un ejemplo, los DFIR resguardan y cuidan todo el proceso de sustracción de las evidencias hasta su almacenamiento, secuestro y traslado a las laboratorios o unidades donde los e-discovery realizaran su trabajo junto al equipo de DES en análisis de evidencias. Ahora bien, en los ambientes corporativos la mayoría de los e-discovery realizan los roles de los DFIR pero con completo desconocimiento de una norma tan sencilla como la RFC3227, poniendo en tela de juicio el trabajo no por la parte profesional, sino por la parte judicial que se trabaja y aquí pongo otro ejemplo: Como haría un ediscovery una cadena de custodia de evidencias apagadas a las normas ISO para la captura de un ciberdelincuente en otro país y que estas mismas evidencias serian tomadas con valor probatorio por Interpol, ya que el ciberdelincuente causo perdidas económica en el corporativo y este, como su bufete jurídico (consultor externo) tiene representación en otro País y puede actuar de manera efectiva para la persecución de estos cibercriminales. Este último punto nos lleva a la reflexión que en Guatemala los e-discovery no están preparados para manejar procesos judiciales al punto de no comprender los procesos extrajudiciales dentro de las empresas y que estos temas se lo toman como algo muy superfluo o un excesivo desinterés, creyendo que solo se trata de decir “ya sabemos cómo se efectuó el cibercrimen” pero no efectuar los procedimientos correctos para la aprensión de los ciberdelincuentes equivale a decir “ya sé quién es el asesino” y no proceder con su arresto y encarcelación. El mundo de la Informática Forense continúa su crecimiento paulatino en nuestra región. José Leonett. Observatorio Guatemalteco de Delitos Informáticos – OGDI | www.ogdi.org LA PERICIA FORENSE DIGITAL: UN CAMPO INCOMPRENDIDO POR LA JUSTICIA PÁGINA |5 Debemos de fortalecer el conocimiento del sector Justicia no solo con efímeras y repetitivas charlas sobre ciberdelitos, sino llevar al campo de trabajo la teoría hecha práctica para [poder formar verdaderos expertos en el tema. Que estos expertos aprendan a tomar decisiones y que se formen tres veces al año de manera obligatoria como lo hacen otros sectores de justicia en el mundo. Solo así, podremos tener verdaderos expertos que manejen temas relacionados con el derecho informáticos, protección de datos e informática forense entre otros. Existe mucho por hacer y avanzar en distintas áreas que rompen la imaginación de cualquier investigador tradicional y del sistema judicial que continua aferrándose a las evidencias documentales (impresa), que no desea evolucionar por temor o desconocimiento de una de las más grandes plataformas de la era humana donde más del 51% de la población mundial esta hiperconectada las 24 horas del día y, donde el mundo criminal ha conseguido un lecho ampliando y realizando operaciones delictivas trasnacionales del cual, en nuestro País, algunos dinosaurios no apoyan iniciativas de ley como la 5601 para el combate de los Ciberdelitos en Guatemala, que ayudaría en la prevención de los crímenes y su persecución, inclusive, de los mismos ciberdelitos que acaban de ocurrir en alguna parte del País o del mundo mientras usted leyó este artículo. “Cuando un perito presenta un informe, dictamina, no opina. Está basado en fundamentos y técnicas científicas. Sus resultados pueden gustar o no, estar a favor o en contra, pero el mismo responde a los elementos objetivos que se recolecten en la escena del crimen. Todos lo que no son expertos en la materia emiten opiniones muchas de ellas subjetivas haciendo una valoración o suposición sin ningún tipo de fundamento técnico científico. Eso hace la diferencia entre alguien que sabe de lo que habla y el que habla sin saber.” - Esteller Gaston José Leonett. Observatorio Guatemalteco de Delitos Informáticos – OGDI | www.ogdi.org
