ISO IEC 27037 Tecnología de la información - Técnicas de seguridad - Identificación, recopilación, adquisición y preservación de pruebas digitales

La norma ISO IEC 27037, «Tecnología de la información - Técnicas de seguridad - Directrices para la identificación, recopilación, adquisición y preservación de pruebas digitales», publicada por la Organización Internacional de Normalización (ISO), ofrece orientación sobre actividades específicas relacionadas con el procesamiento de pruebas digitales. Estas actividades incluyen la identificación, recopilación, adquisición y preservación de pruebas digitales que puedan tener valor probatorio. Esta norma orienta a las personas sobre situaciones comunes que se presentan en el procesamiento de pruebas digitales y ayuda a las organizaciones a facilitar el intercambio de posibles pruebas digitales en procedimientos disciplinarios y entre jurisdicciones.

Esta norma proporciona orientación para los siguientes dispositivos o funciones utilizados en diversas situaciones:

• Los soportes de almacenamiento digital utilizados en los ordenadores estándar, como los discos duros, los disquetes, los discos ópticos y magnetoópticos, son dispositivos de datos con funciones similares.
• Teléfonos móviles, asistentes digitales personales, dispositivos electrónicos personales (PED), tarjetas de memoria.
• Sistemas de navegación móvil.
• Cámaras digitales y cámaras de vídeo (incluidas las de circuito cerrado de televisión).
• Ordenadores estándar conectados a la red.
• Redes basadas en TCP/IP y otros protocolos digitales.
• Dispositivos con funciones similares a las enumeradas.

Esta lista de dispositivos es meramente ilustrativa y no exhaustiva. Los dispositivos mencionados existen en diversas formas. Por ejemplo, un sistema automotriz podría incluir un sistema de navegación móvil, almacenamiento de datos y un sistema de sensores.

La norma ISO IEC 27037 forma parte de la familia de normas ISO IEC 27000, que regula los sistemas de gestión de la seguridad de la información, pero se centra específicamente en el manejo inicial de la evidencia digital en el contexto de la informática forense y el descubrimiento electrónico. Esta norma está dirigida principalmente a los servicios de emergencia, profesionales de la informática forense, fuerzas del orden, equipos de respuesta a incidentes y organizaciones que puedan necesitar recopilar evidencia digital potencial de forma forense rigurosa.

En investigaciones criminales, investigaciones corporativas, demandas civiles o respuestas a incidentes, el manejo inadecuado de evidencia digital puede conducir a lo siguiente:

• Podría ser declarado inadmisible en los tribunales.
• Puede estar contaminado o alterado.
• Puede perder su valor probatorio debido a una cadena de custodia deficiente.

La norma ISO IEC 27037 proporciona un marco aceptado a nivel mundial para garantizar la integridad, la autenticidad y la fiabilidad de las etapas iniciales del proceso de procesamiento de pruebas, desde el momento en que se identifican las posibles pruebas.

Esta norma aborda explícitamente las cuatro etapas fundamentales que tienen lugar antes de que comience el análisis forense en profundidad:

• Identificación: Determinar qué dispositivos, datos o soportes pueden contener evidencia digital relevante.
• Recopilación: Recopilación de posibles pruebas en la escena del crimen o en los alrededores.
• Adquisición: Creación de copias o imágenes de los datos que sean válidas desde el punto de vista forense.
• Protección: Garantizar que las pruebas (tanto originales como copias) estén protegidas contra alteraciones y que la cadena de custodia esté debidamente documentada.

Es importante tener en cuenta que la norma ISO IEC 27037 no abarca el análisis de laboratorio, el examen ni la reconstrucción de datos (estos aspectos se tratan en normas relacionadas como ISO IEC 27041, ISO IEC 27042, ISO IEC 27043 e ISO IEC 27050).

La norma ISO IEC 27037 se basa en varios principios fundamentales:

• Honestidad: Las pruebas no deben alterarse de ninguna manera que afecte su credibilidad.
• Autenticidad: Debe ser posible demostrar que la evidencia es tal como se afirma.
• Repetibilidad: Los procesos deben poder ser repetidos por otra persona autorizada.
• Cadena de custodia: Debe documentarse cada persona que procese la evidencia y cada acción que se realice.
• Minimizar el impacto: Siempre que sea posible, recopile pruebas sin interrumpir innecesariamente las operaciones (esto es especialmente importante en entornos corporativos en funcionamiento).
• Competencia: El personal debe estar debidamente capacitado y ser competente.

La norma ISO IEC 27037 define las distintas funciones implicadas en el proceso inicial de procesamiento de pruebas:

• Primer interviniente en la obtención de pruebas digitales: Suele ser la primera persona en llegar al lugar de los hechos.
• Especialista en evidencia digital: Se trata de una persona con mayores habilidades técnicas que puede llevar a cabo el proceso de recopilación de datos.
• Investigador/solicitante: La persona que dirige la investigación.

La norma ISO IEC 27037 proporciona orientación detallada y listas de verificación para escenarios comunes. Estos incluyen:

• Asegurar y evaluar la escena del crimen.
• Identificar posibles fuentes de evidencia digital (ordenadores, dispositivos móviles, almacenamiento en la nube, dispositivos IoT, etc.).
• Priorizar la recopilación de pruebas (datos provisionales y permanentes).
• Manejo adecuado de dispositivos abiertos y cerrados.
• El uso de bloqueadores de escritura durante el proceso de adquisición.
• Generación de imágenes forenses (copias bit a bit) y cálculo de valores hash criptográficos.
• Etiquetado, embalaje y transporte de soportes digitales.
• Plantillas de documentos (registros de pruebas, formularios de cadena de custodia).

La norma ISO IEC 27037 es utilizada generalmente por los siguientes:

• organismos encargados de hacer cumplir la ley y laboratorios forenses estatales.
• Equipos corporativos de respuesta a incidentes y de análisis forense digital.
• Proveedores de servicios legales privados.
• Profesionales de la seguridad de la información que se ocupan de la gestión de incidentes.
• Equipos legales que gestionan operaciones de descubrimiento electrónico de pruebas.
• Todas las organizaciones que quieran estar preparadas para recopilar adecuadamente pruebas digitales.

En conclusión, la norma ISO IEC 27037 cubre una importante laguna al estandarizar los pasos iniciales del procesamiento de pruebas digitales, que a menudo son realizados bajo presión por personal no especializado (personal de primera intervención, informáticos o de seguridad). Realizar correctamente estos pasos iniciales aumenta significativamente la probabilidad de que las pruebas sean admisibles y fiables posteriormente en un juicio o durante una investigación.

Aunque una organización nunca se enfrente a un proceso penal, seguir la norma ISO IEC 27037 ayuda a garantizar que las investigaciones sean defendibles, repetibles y fiables.

En resumen, si necesita incautar o copiar pruebas de un disco duro, un teléfono o una cuenta en la nube, la norma ISO IEC 27037 explica cómo hacerlo correctamente la primera vez.

Durante muchos años, nuestra organización, con su personal competente y experimentado, ha comprendido las necesidades de sus clientes, brindándoles los servicios de pruebas avanzadas que requieren y ayudándolos en el establecimiento, la implementación y la mejora de sus sistemas de gestión. En este contexto, también ofrecemos servicios de pruebas que cumplen con la norma ISO IEC 27037 «Tecnología de la información - Técnicas de seguridad - Directrices para la identificación, la recopilación, la adquisición y la preservación de pruebas digitales».