Peritaje informático y respuesta a incidentes
Si una computadora muestra indicios de intrusión, borrado intencional o fuga de información, “dejarla funcionando” no es el único objetivo. Repararla sin un plan puede eliminar rastros necesarios para entender qué ocurrió.
Una reinstalación, una limpieza de archivos o el uso cotidiano del equipo pueden modificar información relevante. Por eso conviene separar dos trabajos: recuperar la operación y preservar los datos que permitirán investigar. La guía forense NIST SP 800-86 y las recomendaciones de respuesta a ransomware de CISA ofrecen una base técnica para organizar esa decisión.
Este es un tema vigente de prevención para pymes, no el anuncio de una vulnerabilidad nueva. La publicación de NIST es de agosto de 2006: se utiliza aquí para principios de preservación y documentación, no como catálogo actualizado de herramientas ni como norma jurídica mexicana.
Contener el incidente no significa borrar sus rastros
Ante una posible infección activa, la prioridad es limitar el daño. CISA recomienda identificar y aislar los sistemas afectados. Aislar de la red y apagar son decisiones diferentes: apagar un equipo puede perder información que solo existe en memoria, pero dejarlo conectado puede permitir que el ataque continúe.
La guía de CISA contempla apagar dispositivos cuando no sea posible desconectarlos de la red para evitar la propagación del ransomware, y advierte expresamente sobre la pérdida de evidencia volátil. No hay una instrucción universal de “nunca apagar” o “siempre reiniciar”. La decisión debe considerar el riesgo inmediato, la seguridad de las personas y la capacidad del equipo de respuesta.
Para el usuario del área, la acción útil es reportar de inmediato por un canal confiable, dejar de trabajar en el dispositivo y seguir el procedimiento autorizado. No conectes memorias USB ni instales programas de recuperación para “ver qué pasó”. Si el equipo ya está apagado, no lo enciendas para explorar su contenido sin indicaciones del responsable técnico.
Tres objetivos que deben coordinarse
Contener
Reducir el alcance del incidente y proteger los sistemas que todavía no están afectados.
Preservar
Conservar datos relevantes, documentar su manejo y limitar cambios innecesarios.
Recuperar
Restablecer el servicio con un plan que no destruya prematuramente la información necesaria para investigar.
Ejemplo hipotético: un negocio detecta archivos eliminados y accesos fuera de horario. Reinstalar la computadora de inmediato puede devolverle un escritorio utilizable, pero también dificultar la reconstrucción de los hechos. Una alternativa a evaluar es asignar un equipo limpio de reemplazo y preservar el original bajo control, mientras se revisan también los registros del servidor o la nube.
Qué registrar antes de entregar el equipo a soporte
- El síntoma observado: describe lo que viste y cuándo, sin convertir una sospecha en una acusación. “Faltan archivos en esta carpeta” es distinto de afirmar quién los borró.
- La identificación del dispositivo: registra inventario, usuario asignado, ubicación y estado de encendido. No abras archivos privados para completar el reporte.
- La línea de tiempo: anota fecha, hora y zona horaria de la detección y de cada acción. Indica si la hora proviene del sistema o de otra referencia y si existe una diferencia conocida.
- Las intervenciones realizadas: desconexiones, reinicios, cambios de contraseña o herramientas ejecutadas. Si ya se hizo algo, documentarlo ayuda más que ocultarlo.
- La entrega y custodia: deja constancia de quién entrega, quién recibe, cuándo, para qué y dónde quedará resguardado el equipo. Restringe el acceso al dispositivo y al expediente del incidente.
Esta bitácora inicial no sustituye una adquisición forense ni acredita por sí sola una cadena de custodia completa. Evita difundir capturas, contraseñas o archivos de clientes en chats amplios; utiliza un canal restringido y conserva el contexto de los registros.
Una copia de carpetas no equivale a una imagen forense
NIST distingue métodos de adquisición y recomienda verificar la integridad de los datos originales y sus copias. También describe el uso de bloqueadores de escritura para evitar modificaciones del medio durante determinados procesos de adquisición. Elegir el método, las herramientas y el orden de recolección corresponde a personal capacitado y autorizado.
Una huella criptográfica o hash ayuda a comprobar si dos conjuntos de datos coinciden o si una copia cambió. No demuestra por sí sola quién creó un archivo, quién lo eliminó ni si una versión de los hechos es cierta. Debe acompañarse de documentación, contexto y análisis. El examen debería realizarse sobre copias preservadas cuando el procedimiento lo permita, no mediante exploraciones improvisadas del original.
La evidencia tampoco está siempre dentro de la computadora. Puede haber registros de acceso en correo, VPN, servidores y servicios en la nube. Conviene que el responsable técnico revise pronto su disponibilidad y retención: algunos se sobrescriben automáticamente. La recolección debe limitarse al alcance autorizado, con participación de dirección y asesoría jurídica cuando corresponda.
Deja acordado el procedimiento antes de necesitarlo
Una pyme puede empezar con una regla operativa sencilla: si hay indicios de un incidente, soporte debe evaluar la preservación antes de formatear, limpiar o devolver el equipo al uso habitual. Define quién autoriza la intervención, quién coordina la investigación y cómo se mantendrá la operación mientras tanto.
Para empresas en CDMX, Querétaro y Celaya Guanajuato, el valor no está en guardar todo indiscriminadamente, sino en conservar información pertinente y explicar cómo se obtuvo. Si el asunto puede llegar a una controversia, el alcance del peritaje y los requisitos de la autoridad competente deben revisarse para el caso concreto; ninguna herramienta garantiza por sí sola la admisión de una prueba.
Cómo puede ayudar Tiser: apoyamos la evaluación técnica inicial, la planeación de preservación de evidencia y la coordinación entre soporte, continuidad operativa y peritaje informático.
Consulta nuestro servicio de peritaje informático, solicita una evaluación del caso o abre un reporte en Soporte Tiser. Describe primero el incidente; la entrega de archivos sensibles debe acordarse por un canal apropiado.
Fuentes consultadas
- NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response, agosto de 2006. Se consultó también el documento completo, especialmente los apartados sobre recolección, integridad y datos de sistemas operativos. Es una referencia técnica, no asesoría jurídica.
- CISA: #StopRansomware Guide, lista de respuesta sobre aislamiento de equipos y preservación de información volátil. Fuentes consultadas el 15 de octubre de 2026.
- Fotografía: Computer Repair, de Accretion Disc, con licencia CC BY 2.0. Recorte horizontal de detalle realizado por Tiser. Ilustra una intervención física de mantenimiento; no muestra una adquisición forense, un incidente real ni instalaciones de Tiser.