Qué es un incidente de seguridad

El primer error es tratar el tema como si existiera una única “búsqueda” capaz de resolverlo. En una investigación real, el objeto del encargo debe descomponerse en preguntas verificables. Cada pregunta requiere fuentes distintas, un nivel de corroboración definido y una decisión previa sobre qué resultado será suficiente para considerarla respondida.

También debe definirse el periodo relevante. Una información correcta pero antigua puede ser inútil para la pregunta actual. Del mismo modo, una coincidencia de nombre, domicilio, fotografía o empresa no demuestra identidad por sí sola. La calidad depende de la relación entre dato, persona, fecha y contexto.

Un enfoque profesional utiliza una matriz de investigación: pregunta, hipótesis, indicador esperado, fuente potencial, hallazgo, contradicción y nivel de confianza. Esta estructura permite saber qué parte del caso está respaldada y qué parte continúa abierta.

1. Preservar antes de intervenir: Antes de modificar contraseñas, borrar mensajes o reinstalar un equipo, se evalúa si existen registros que deban conservarse para comprender el incidente.
2. Recolectar cabeceras y registros disponibles: En correos y servicios digitales pueden existir cabeceras, registros de acceso o notificaciones de seguridad útiles. Se documentan sin acceder a cuentas ajenas ni exceder autorizaciones.
3. Separar compromiso de sospecha: Un correo extraño o una alerta no prueba por sí sola una intrusión. Se comparan eventos, horarios, direcciones IP cuando estén legítimamente disponibles y acciones registradas por el servicio.
4. Controlar copias y credenciales: Los archivos del caso se almacenan con permisos restringidos; las credenciales nunca deben incorporarse al informe.
5. Documentar cambios: Si se realiza una medida de contención —por ejemplo, cambio de contraseña— se registra cuándo y por qué, para no confundir el estado posterior con el escenario investigado.
6. Escalar a especialistas cuando corresponde: La adquisición forense de un dispositivo o el análisis de malware requiere capacidades específicas y debe realizarse con autorización y procedimientos adecuados.

Cómo se define el nivel de confianza

No todas las conclusiones deberían expresarse como “verdadero” o “falso”. En investigaciones complejas es más riguroso utilizar categorías documentadas, por ejemplo: confirmado cuando existen fuentes sólidas e independientes; altamente consistente cuando la evidencia converge pero falta una verificación final; no corroborado cuando existe un indicio sin respaldo suficiente; y contradictorio cuando las fuentes relevantes no son compatibles entre sí.

Este sistema evita una práctica frecuente: transformar una sospecha razonable en una afirmación categórica. El lenguaje del informe debe reflejar exactamente la fuerza de la evidencia disponible.

La trazabilidad no es un formalismo. Es la capacidad de reconstruir cómo apareció un dato, qué se hizo para verificarlo y qué versión del material fue analizada. En contenido digital conviene registrar URL, fecha y hora, título, entidad responsable y, cuando corresponde, conservar una copia de trabajo. En archivos descargados, una huella criptográfica puede ayudar a demostrar que la copia analizada no fue modificada después de su adquisición.

Las notas de trabajo también deben separar observación de interpretación. “El vehículo ingresó a las 18:42” es una observación; “la persona trabaja allí” es una inferencia que necesita respaldo adicional. Esta disciplina mejora la precisión y facilita que un abogado, cliente o auditor revise el expediente sin depender de la memoria del investigador.

La Ley N.º 21.459 regula delitos informáticos e incluye el acceso ilícito a sistemas y la interceptación ilícita de transmisiones no públicas. Investigar un incidente no autoriza a responder con técnicas de intrusión contra terceros. Si hay datos personales comprometidos, también deben considerarse las obligaciones de la Ley N.º 19.628 y el régimen reforzado que introduce la Ley N.º 21.719 desde diciembre de 2026.

Principio práctico de proporcionalidad

Que una diligencia sea técnicamente posible no significa que sea necesaria. Antes de recopilar información debe preguntarse si el mismo objetivo puede alcanzarse con una fuente menos intrusiva. Este criterio reduce riesgos, mejora la calidad del expediente y evita acumular datos que no aportan a la pregunta investigativa.

Un usuario recibe alertas de inicio de sesión y mensajes de restablecimiento de contraseña. Antes de concluir que la cuenta fue tomada, se preservan correos originales, cabeceras, fechas, notificaciones del proveedor y registros de sesiones legítimamente accesibles. El análisis busca una secuencia consistente y separa actividad confirmada de intentos fallidos.

El valor del ejemplo está en la secuencia: primero se define qué se quiere saber; después se identifican fuentes legítimas; luego se contrasta; finalmente se documenta qué quedó confirmado y qué continúa abierto. Saltarse una de esas etapas puede producir un informe visualmente extenso pero técnicamente débil.

• Objeto del encargo: pregunta o preguntas que la investigación debía responder.
• Alcance: periodo, fuentes, diligencias, supuestos y límites.
• Metodología: cómo se obtuvo y verificó la información.
• Cronología: hechos ordenados temporalmente cuando sea relevante.
• Hallazgos: hechos separados de interpretaciones.
• Fuentes y anexos: referencias suficientes para revisar cada afirmación material.
• Contradicciones: información que no coincide o requiere verificación adicional.
• Limitaciones: aquello que no pudo determinarse y las razones.
• Conclusión: respuesta prudente y directa al objetivo inicial.

Forentis puede evaluar el objetivo, la viabilidad y el alcance antes de iniciar diligencias. En el primer contacto describa el caso en términos generales y evite datos sensibles innecesarios.