I. PERITAJE EN INFORMÁTICA, INFORMÁTICA FORENSE Y ACTIVIDADES AFINES
La frecuente presencia de la informática en los más diversos aspectos de la actividad humana, junto con la profusa cascada de ramificaciones que cada hecho desata en un cada vez más conectado mundo de bits, la está convirtiendo en una fuente inestimable de indicios.
Tanto si lo que se pretende es conocer, como si se tiene interés en probar un hecho, si se piensa bien, es muy posible que el estudio de algún dispositivo de base informática aporte evidencias al respecto. En un mundo en el que se impone el «siempre conectado» y en consecuencia prevalece el mundo intangible digital, dispositivos de posicionamiento GPS, teléfonos móviles, dispositivos de almacenamiento extraíbles, cámaras digitales, reproductores de medios, discos duros, impresoras, dispositivos de red y por supuesto los mismos ordenadores, tanto los que están directamente en contacto con los hechos como otros remotos que intervienen a través de redes informáticas, son todos susceptibles de guardar un estado que puede ofrecer evidencias al respecto de hechos que nos puedan resultar interesantes.
Diferentes disciplinas se interesan en extraer hechos de dichas evidencias. Podríamos dividirlas en dos enfoques: aquellas que se centran en probar (probáticas) y aquellas que se enfocan en conocer (investigativas). La diferencia radica básicamente en el punto de vista que se toma respecto al tratamiento de las evidencias. Cuando se pretende probar deben extremarse las precauciones en la captura y el tratamiento de la información para evitar cualquier posible contaminación y documentar cada acción realizada sobre la misma con objeto de garantizar la reproducibilidad de lo observado, minimizando la posibilidad de repudio de la misma. En cambio, cuando únicamente se pretende conocer, el concepto de repudio pierde su influencia, dichas precauciones se relajan y los flujos de trabajo se vuelven más directos.
Otro nivel de diferencia entre los enfoques probático e investigativo radica en el contexto. Mientras que en el investigativo una buena parte del contexto en el que se encuentra la prueba es conocido y explícito, el probático requiere conocimientos y capacidades más allá de la simple técnica de tratamiento de la prueba, al ser imprescindible añadir y hacer explícito dicho contexto, por ser aquel al que se presentan los hechos para su valoración, completamente ajeno al mismo.
En general las referencias a la informática forense la describen como un conjunto de técnicas que se enfocan a la adquisición, preservación y presentación de la prueba informática. Son así las mejores prácticas para la adquisición y tratamiento de evidencias informáticas y son transversales a las demás disciplinas que tratan la prueba informática. El concepto más importante para la informática forense es el «no repudio».
La seguridad informática es una disciplina que se centra en el estudio de los sistemas informáticos enfocada maximizar su integridad e inviolabilidad. Los expertos en seguridad informática realizan actividades investigativas orientadas a conocer el estado de los sistemas y trazar hasta su origen cualquier eventualidad o intrusión. Pero en ocasiones dichas actividades investigativas pudieran devenir actividades probatorias cuando lo que se descubre es una actividad delictiva o ilícita. No es recomendable que el profesional de la seguridad informática se involucre en la actividad orientada a probar los hechos objeto de investigación. En primer lugar por estar contaminado de necesidad por su posición en la organización. Y en segundo lugar por carecer a priori de los conocimientos que le van a permitir introducir los hechos en el conflicto de forma efectiva y sólida.
Del mismo modo la auditoría en informática, siendo una disciplina que se centra en la gestión del riesgo en sistemas de información, presenta esa misma vertiente investigativa. Pero por el contrario, en el caso de la auditoría, si el auditor es externo a la organización, aunque le faltaría un componente de conocimiento del proceso, puede perfectamente hacer valer su independencia y actuar como garante de la prueba, siempre naturalmente aplicando las prácticas recomendadas a tal efecto.
No es el caso de la investigación privada con base en evidencias informáticas, que tiene una componente únicamente investigativa. El perfil de estos profesionales suele incluir una sólida base en técnicas de investigación, que junto al conocimiento de las técnicas de informática forense les va a permitir extraer hechos simples de dichas evidencias. Su falta de formación en sistemas de información les impide a priori extraer hechos de cierta complejidad y añadir el debido contexto a los mismos.
Por último el peritaje en informática tendría una visión eminentemente probática de los indicios y no se quedaría en hechos simples sino que estaría en disposición de extraer hechos complejos y de alto nivel de las evidencias observadas, incluso cuando estos hechos de alto nivel requieren de una capacitación para su interpretación o valoración. El perfil del perito debe incluir conocimientos de los sistemas de información sobre los que tenga que actuar, las técnicas de informática forense y siendo el objeto de su trabajo la introducción de hechos en un litigio, un mínimo conocimiento de las reglas que operan en el procedimiento a este respecto.
Cabe reseñar que el perito en informática interviene siempre que es necesaria la opinión de un experto en informática en un litigio, por lo que su actividad no se limita a la captación, interpretación y presentación de indicios, bien sea en conflictos con objeto tecnológico u otros. Como experto está en disposición de opinar y valorar elementos y circunstancias como por ejemplo el grado de cumplimiento de una obra o servicio informático.
II. EL PERFIL DEL PERITO EN INFORMÁTICA
Las normas procedimentales suelen referirse al perito como un experto en la materia objeto de pericia. Esto provoca una primera dicotomía: ¿Es preferible un experto en la materia objeto de pericia, pero que tenga una exposición limitada y eventual al peritaje? o por el contrario ¿debe preferirse la opinión de un profesional del peritaje que conozca los mecanismos del procedimiento respecto a la prueba pericial y a la introducción de hechos en un litigio, aunque no tenga el mismo nivel de conocimiento que el experto?
En mi opinión deben tenerse en cuenta dos factores. El primero es lo minoritaria y estrecha que pueda ser el área de conocimiento que requiere la pericia. En la práctica habitual y salvo en casos muy concretos y escasos éste es un factor que no es determinante. El segundo factor es el concepto de compromiso con la actividad.
En cualquier actividad es preferible la actuación de un profesional que esté comprometido con la misma, entendiendo el compromiso como aquello que el profesional invierte en la actividad. La razón es simple: cuanto más haya invertido el profesional en capacitarse para realizar la actividad, más estará dispuesto a llevarla a cabo fielmente y sin atajos.
Y en este sentido, la actividad principal de uno es la que va a acumular su compromiso en detrimento de las secundarias. El compromiso puede tener formas diferentes: el estudio y publicación dentro del ámbito de actuación, la formación reglada, la formación continua, la colaboración en iniciativas dentro del ámbito, la adhesión a códigos de conducta, etc. En definitiva todo aquello que suponga un esfuerzo material o intelectual al profesional.
Otro factor a tener en cuenta es la falta de estandarización de la disciplina. No existe, ni se ha buscado, un consenso en cuanto a los hechos concretos que se deben de derivar de diferentes posibles evidencias. No existe una semiótica informática que permita escalar los diferentes estadios de significado desde los campos magnéticos guardados en la superficie de un disco hasta que la praxis convierte los indicios en hechos con un significado fuera del mundo de los bits. No se ha producido aún una sistematización de la disciplina y esto impide, entre otras cosas, que pueda hablarse de un currículo del perito en informática.
Sí existen currículos o certificaciones centrados en la auditoría informática, seguridad informática e informática forense, aunque, insisto, en mi opinión, la informática forense no es por sí misma una disciplina, sino un conjunto de técnicas de tratamiento de evidencias.
A falta de una estandarización de la disciplina y de la definición de un currículo adecuado, el factor que pasa a tener un mayor peso es el del compromiso con la misma. De este modo cualquier elemento que abunde en el compromiso del perito con la actividad pericial es un factor positivo a tener en cuenta, mientras que por el contrario, la falta de implicación, la dedicación eventual o la no adhesión a códigos de conducta profesional son factores negativos a la hora de escoger un perito en informática.
III. LA EXCELENCIA EN LA DISCIPLINA: ORGANIZACIONES Y EMPRESAS
En la búsqueda de la excelencia en la disciplina podrían distinguirse dos enfoques diferentes: el enfoque empresarial y el enfoque de las organizaciones profesionales.
El primero basa la evolución hacia la excelencia en las fuerzas del mercado, al que delega la función de premiar con más encargos a aquellas empresas, despachos profesionales o individuos que ofrecen un mejor servicio en detrimento de aquellos de menor calidad.
Las organizaciones profesionales en cambio basan su planteamiento de calidad en la imagen que de ella proyectan todos y cada uno de los profesionales que las componen, implementando diferentes medidas tendentes a garantizar que sus miembros responden a unos criterios de calidad y excelencia mínimos. Aunque ambos planteamientos son igualmente válidos, los parámetros que miden la orientación hacia la excelencia de cada uno son diferentes.
En el caso de las empresas, despachos o profesionales independientes serían parámetros a considerar las referencias en el sector y la solvencia técnica. En el caso de las organizaciones profesionales sería conveniente tener en consideración qué requisitos se exigen a sus miembros, la formación inicial requerida para formar parte de la organización, la formación continua exigida para mantener el estatus y los códigos de conducta que debe aceptar el profesional.
Las empresas o despachos profesionales tendrían la ventaja de poder establecer fácilmente procedimientos estándar de trabajo, mientras que tendrían como desventaja que la búsqueda de un uso óptimo de los recursos en ocasiones puede provocar que ciertos tipos de actuaciones más rutinarias pero importantes puedan acabar siendo realizadas por personal menos cualificado. Las organizaciones profesionales en cambio difícilmente pueden llegar a imponer procedimientos al mismo nivel de detalle.
Ambos tienen el deber de mantenerse independientes, rehuyendo cualquier implicación con otros actores en el contexto de actuación que pudiera verse como un posible sesgo a la hora de interpretar o valorar los hechos que se les presenten.
IV. PARTICULARIDADES DE LA ACTIVIDAD
Las labores para las que se requiere a un perito en informática son muy diversas y van desde diligencias de entrada y registro (en ocasiones como asistentes de la fuerza pública, en ocasiones contando con su auxilio) hasta la valoración de sistemas de información complejos.
Aunque es común que el objeto del litigio sea de naturaleza informática (implantaciones de sistemas fallidas, valoraciones de sistemas de información), es cada vez más común que la prueba se refiera a circunstancias en un caso con un objeto ajeno a la informática. Es frecuente por ejemplo la intervención en casos de competencia o administración desleal, al ser la informática el vehículo más habitual de la actividad.
La prueba informática se caracteriza por su intangibilidad y por ser necesaria siempre una interpretación de los indicios en su forma nativa: los electrones en celdas de memoria DRAM o los campos magnéticos en la superficie de un disco no tienen significado alguno fuera de todo un contexto o universo de prueba.
Es en esa exégesis en la que en mi opinión se hace más necesaria la sistematización de la disciplina, con la definición de estándares al respecto del tratamiento e interpretación de los indicios hacia los hechos que la praxis determina y las diferentes formas de contraste y exposición a la coherencia interna y externa de los indicios que han de permitir definir con un grado de certidumbre alta las conclusiones que se extraigan de ellos.
El contexto es un concepto nuclear en el estudio de las evidencias informáticas. El contexto en el que se inscriben los indicios determina no sólo las conclusiones que van a poder extraerse de dichos indicios, sino que va a permitir, como es deseable en todas las disciplinas periciales, el adecuado contraste de dichas conclusiones. El contexto suele incluir elementos de identificación de los dispositivos u otros elementos, la topología de la red, etc.
La informática presenta una imagen de maleabilidad ilimitada que en ocasiones es bien merecida. Las conclusiones de los informes periciales en informática suelen basarse en juicios de plausibilidad, siendo tremendamente difícil hablar con absoluta seguridad de hechos incontrovertibles, lo que habitualmente se traduce en un carácter inferencial del discurso de dichos informes.
Sin caer en el nihilismo, si es el contexto el que permite el contraste, el límite hasta el cual se debe modificar dicho contexto buscando la debida coherencia para que una prueba falsa aparezca a todas luces como cierta, está un paso más allá del contexto que estudia el perito que realiza el estudio.
V. FALTA DE ESTANDARIZACIÓN
Aunque ya se ha tratado someramente en secciones anteriores, creo importante insistir en el aspecto de la falta de estandarización de la disciplina y de dónde debería partir, en mi opinión, dicha estandarización.
Aunque la academia es uno de los actores importantes en el sector, la estandarización de la disciplina debe surgir de la propia disciplina, no directamente desde la academia. El motivo es claro: únicamente quien practica activamente la disciplina puede llegar a comprender, definir y sistematizar su ejercicio.
Por otro lado pretender que los peritos sean la única fuerza activa en la definición y sistematización de la disciplina es, en mi opinión, un disparate.
Estando la disciplina inmersa en un proceso no cabe duda que los expertos procesalistas pueden aportar un punto de vista de mucho valor.
Del mismo modo, como se ha señalado antes, la academia puede aportar el punto de vista de los expertos en diferentes áreas y la visión de los formadores en la definición del currículo del perito en informática.
VI. CONCLUSIONES
El peritaje en informática es una disciplina que abarca aquellas actividades orientadas a la introducción en un conflicto de hechos que estén basados en evidencias informáticas.
En este artículo se ha puesto en contexto la actividad pericial en informática frente a otras disciplinas con las que comparte el estudio de evidencias informáticas; se ha repasado el perfil del perito en informática, contrastando la aportación del perito profesional con la del experto que realiza acciones periciales de forma esporádica con base en el compromiso que cada uno de ellos pueda tener respecto a la misma disciplina; se ha puesto de manifiesto la falta de sistematización y la necesidad de definir un currículo del perito en informática; se han repasado someramente los factores que las organizaciones, despachos profesionales, individuos y organizaciones profesionales ponen en marcha en busca de la excelencia en el desarrollo de la actividad; se ha incidido en el papel de la semiótica en la construcción de hechos de alto nivel a partir de indicios básicos; se ha descrito el concepto de contexto, la coherencia y los juicios de plausibilidad en el estudio de evidencias informáticas y por último se ha apuntado la necesidad que sean organismos de base práctica, formados por peritos en informática, los que dirijan la sistematización, estandarización y definición de la disciplina con la ayuda de expertos procesalistas y la academia.