Sobre Forensica

Por qué existe Forensica

La evidencia digital rara vez espera. Un mensaje se borra, una publicación se retira, un chat se edita, una página cambia, un estado se reemplaza — y la ventana para capturarlo con garantías se mide a menudo en horas, no en días. Un notario da fe con una autoridad que ningún software puede igualar, pero raras veces está disponible con la inmediatez que exige el momento: pedir cita, desplazarse, esperar turno — y para entonces la evidencia puede haber desaparecido. Forensica nace para cubrir exactamente ese hueco: capturar y preservar la evidencia mientras todavía existe. No sustituye la actuación de un notario, un abogado o un perito — llega antes que ellos, cuando todavía se puede actuar, y deja la evidencia lista para que cualquiera de ellos la recoja después.

Y como se adquiere de un sistema encendido — sin poder clonarlo bit a bit, sin poder repetir el proceso exactamente igual dos veces — la prueba de que nada se alteró no puede vivir solo en el fichero final: tiene que vivir en el procedimiento. Por eso grabamos la sesión completa, sellamos cada artefacto en el momento, lo verificamos en servidor, y lo dejamos consultable por cualquiera con el enlace — sin que la palabra de quien hizo la extracción sea la única garantía.

Qué hacemos, y qué no

Forensica cubre la adquisición y la custodia de evidencia digital: pendrive de escritorio, app móvil, extensión de navegador, correo entrante certificado automáticamente, monitorización programada de sitios web. Deliberadamente no hacemos clonado forense de dispositivos apagados, extracción de móviles, ni análisis forense posterior (recuperación de datos borrados, estudio del sistema operativo, indexado de artefactos) — eso sigue siendo trabajo del perito, con sus propias herramientas. Esta frontera no es un límite técnico, es una decisión de producto: preferimos hacer una cosa con rigor a abarcarlo todo a medias.

Cómo pensamos la seguridad

Cada garantía del mecanismo es verificable, no una promesa: el hash se puede recalcular, el sello de tiempo se puede validar contra la autoridad emisora, el registro de accesos se puede consultar. Documentamos también lo que no hemos resuelto todavía — el almacenamiento WORM local, por ejemplo, no es inmutabilidad real frente a un administrador del sistema operativo con permisos suficientes; eso llega con el paso a almacenamiento en la nube con Object Lock, que sigue en nuestra hoja de ruta.

Dónde encaja frente a la norma

UNE 71506:2013 distingue la adquisición de sistemas encendidos (§7.2, el escenario de Forensica) de la de sistemas apagados y del análisis forense posterior. La propia norma reconoce que, en un sistema encendido, lo que sostiene la validez del resultado es cómo se justifica el procedimiento — no un hash idéntico reproducible por un tercero, que en este escenario no existe. Ningún software puede certificarse contra esta norma (ella misma lo aclara); lo que hacemos es estructurar el mecanismo siguiendo ese mismo criterio.