Cadena de custodia

La evidencia necesita contexto: quién la obtuvo, cuándo, cómo se guardó y qué cambios sufrió. Un hash ayuda a comparar contenido; no reconstruye una cadena de custodia que nunca se documentó.

Proceso de documentar evidencia, posesión y control durante el ciclo de vida de un incidente. La idea es completarse con detalles de cómo se manejó la evidencia. El formato depende del procedimiento aplicable. Como lista didáctica de campos:

• Descripción de evidencia
  • ID de registro, ubicación, hostname, MAC o IP, etc)
• Custodia
  • Nombres de quién recibió la evidencia, quién la manejo, cómo y cuándo. A quién se la transfirió y quién recibió, etc.
• Fechas y horas.

En general, lo más detallado posible para evitar cualquier pérdida o rotura de cadena .

El registro ayuda a explicar la procedencia y manejo de la evidencia; no garantiza por sí solo exactitud ni admisibilidad judicial. Los requisitos dependen del procedimiento y jurisdicción.

---

La idea de documentar es ser transparente, tener un estándar de trabajo común y ser claro en el manejo de las evidencias.

Véase también

• 01 Introducción — Contexto de la custodia dentro de una respuesta a incidentes.

Referencia técnica: NIST SP 800-86, recopilación y custodia.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi · Nao · Sena]         |
| SEAL: sha256/12: 09abc58af741          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+