1. Por qué citar normas cambia el peso de un dictamen

Cuando un perito declara que ha seguido una norma concreta, deja de defender su criterio personal y pasa a defender un procedimiento reconocido. La diferencia en sala es enorme: ya no discutes si tu método es bueno, discutes si lo has aplicado bien. Y eso es mucho más fácil de sostener.

En España conviven dos familias de normas que no compiten entre sí: las UNE 71505 y 71506, redactadas en español y pensadas para nuestro contexto, y la familia ISO/IEC 27037 y siguientes, de alcance internacional.

2. UNE 71505: gestión de evidencias electrónicas

Publicada en tres partes, define un Sistema de Gestión de Evidencias Electrónicas. No habla de cómo analizar, sino de cómo una organización debe generar, conservar y manejar sus evidencias para que después sirvan:

• Parte 1: vocabulario y principios generales.
• Parte 2: buenas prácticas de gestión.
• Parte 3: formatos y mecanismos técnicos.

Su utilidad práctica es preventiva. Una empresa que registra sus eventos conforme a esta norma llega a un litigio con evidencia utilizable. La que no, llega con registros que rotaron hace seis semanas.

3. UNE 71506: metodología de análisis forense

Es la norma nuclear para el perito. Describe el proceso completo en cuatro fases encadenadas:

1. Preservación: garantizar que la evidencia no se altera desde el momento cero.
2. Adquisición: obtener la copia y verificarla.
3. Análisis: extraer la información relevante de forma reproducible.
4. Presentación: documentar de modo comprensible y defendible.

Dos exigencias suyas merecen atención porque son las que más se incumplen:

• Trazabilidad completa. Cada acción del perito debe quedar registrada, no solo los hallazgos. Incluido lo que se intentó y no funcionó.
• Reproducibilidad. Otro perito, con la misma imagen y el mismo informe, debe llegar al mismo resultado. Si tu método depende de una intuición no documentada, no cumple.

4. ISO/IEC 27037: el primer eslabón

Cubre identificación, recolección, adquisición y preservación de la evidencia digital. Es la norma que se cita cuando se discute la actuación en el lugar de los hechos.

Aporta dos conceptos que conviene usar con su nombre:

• Recolección (collection): llevarse el dispositivo físico.
• Adquisición (acquisition): obtener una copia de su contenido dejando el dispositivo donde está.

Elegir una u otra no es indiferente. Llevarse el servidor de producción de una empresa puede ser desproporcionado; adquirir su contenido en caliente sacrifica consistencia. La norma exige que la decisión sea justificada y documentada, no improvisada.

Define además dos perfiles: el DEFR, primer interviniente que recoge, y el DES, especialista que analiza. Separar ambos papeles en el informe aporta claridad sobre quién hizo qué.

5. Las tres que completan la familia

• ISO/IEC 27041: cómo garantizar que el método empleado es adecuado al caso. Es la norma que respalda la validación de herramientas.
• ISO/IEC 27042: análisis e interpretación. Aborda algo poco tratado: cómo expresar el grado de confianza de una conclusión.
• ISO/IEC 27043: marco general del proceso de investigación, desde la preparación previa al incidente hasta el cierre.

6. Cómo se citan en el informe

Mal citadas restan en vez de sumar. Tres reglas:

1. Cita solo lo que has aplicado. Enumerar seis normas cuando has seguido una es una invitación a que te pregunten por las otras cinco.
2. Indica la parte concreta. «Conforme a la fase de adquisición de la UNE 71506» dice mucho más que «conforme a la normativa vigente».
3. Explica las desviaciones. Si en un servidor en producción no pudiste seguir el procedimiento estándar, dilo y razónalo. Una desviación documentada es defendible; una omitida, cuando aparece, es letal.

7. Lo que ninguna norma te da

Conviene ser honesto: cumplir la norma no hace que tus conclusiones sean correctas. Puedes adquirir impecablemente y después interpretar mal un artefacto del registro de Windows. Las normas garantizan que el proceso es trazable y reproducible; la calidad del análisis depende del perito.

Tampoco sustituyen al criterio jurídico. Una evidencia obtenida con metodología perfecta pero vulnerando derechos fundamentales sigue siendo inutilizable por aplicación del artículo 11.1 de la Ley Orgánica del Poder Judicial.

8. Conclusión

Para un peritaje informático en España, la combinación que mejor funciona es UNE 71506 como metodología declarada, apoyada en ISO/IEC 27037 para justificar la actuación en la recogida. Citadas con precisión, aplicadas de verdad y con las desviaciones explicadas, convierten el dictamen en algo que se discute sobre el fondo y no sobre la forma.

Si quieres ver la metodología aplicada de principio a fin sobre un caso real, la desarrollamos en peritaje y análisis forense de un sistema Windows.

¿Necesitas ayuda con la metodología de tus peritajes?

En Jaymon Security realizamos análisis forense digital y peritaje informático para procedimientos judiciales, investigaciones internas y respuesta a incidentes, con metodología documentada y cadena de custodia desde el primer minuto.

Consulta nuestro servicio de peritaje informático forense o contacta con nosotros para valorar tu caso.

Formación relacionada

Si te dedicas o quieres dedicarte al peritaje informático, el procedimiento completo se trabaja en el Curso de Perito Informático y Análisis Forense en Windows: 150 horas y certificado verificable.