¿Qué pasa después de detectar un acceso extraño, una filtración de datos o archivos que desaparecieron de un equipo? Resolver el problema operativo es importante, pero también puede ser necesario reconstruir qué ocurrió, qué sistemas estuvieron involucrados y qué información quedó como evidencia.
La informática forense es la disciplina que aplica métodos técnicos para identificar, preservar, recuperar cuando es posible, analizar y documentar información digital. Su objetivo no es adivinar lo que pasó, sino obtener hallazgos verificables sin alterar indebidamente los datos originales.
¿Qué es la informática forense?
La informática forense estudia datos provenientes de computadoras, celulares, servidores, redes, servicios en la nube y otros entornos tecnológicos para responder preguntas sobre un hecho. Puede intervenir ante un ciberdelito, una investigación interna, un fraude, una fuga de información o un incidente de seguridad.
La disciplina combina conocimientos de sistemas, redes y seguridad con procedimientos de preservación y documentación. No alcanza con encontrar un archivo llamativo: también hay que explicar de dónde salió, cómo se obtuvo, qué relación tiene con el caso y qué controles permiten comprobar que no fue modificado durante el análisis.
La seguridad informática abarca distintas áreas orientadas a proteger sistemas, redes y datos. La informática forense se relaciona con ese campo, pero se concentra en examinar rastros digitales y reconstruir eventos a partir de la información disponible.
Lo más importante
- La informática forense identifica, preserva, analiza y documenta información digital.
- La evidencia puede provenir de dispositivos, archivos, registros, redes y servicios en la nube.
- La integridad y la trazabilidad importan tanto como el hallazgo técnico.
- Recuperar información borrada puede ser posible en algunos casos, pero nunca está garantizado.
- Un analista forense, un especialista en respuesta a incidentes y un perito judicial pueden compartir conocimientos, aunque sus funciones no son idénticas.
¿Qué hace un perito digital?
Un perfil especializado en análisis forense digital busca responder preguntas técnicas: qué ocurrió, cuándo empezó, qué cuentas o dispositivos participaron, qué información pudo verse afectada y qué rastros respaldan esa reconstrucción. El alcance concreto depende del caso, la organización, la autoridad que solicita el trabajo y las reglas aplicables.
Identifica posibles fuentes de evidencia
El primer paso es delimitar el problema. Ante una cuenta comprometida, por ejemplo, pueden resultar relevantes los registros de acceso, los correos recibidos, el historial del equipo, las configuraciones de seguridad y la actividad de otros sistemas conectados. Reunir datos sin un objetivo claro puede sumar ruido y afectar información que no corresponde examinar.
Preserva la información
La evidencia digital es frágil: abrir un archivo, encender un dispositivo o conectarlo a una red puede modificar fechas, registros u otros datos. Por eso se documenta el estado inicial y, cuando corresponde, se trabaja sobre copias o imágenes forenses. También se aplican controles para verificar la integridad de la información.
Analiza y relaciona los hallazgos
Durante el análisis se examinan archivos, metadatos, registros de actividad, conexiones y líneas de tiempo. Un dato aislado rara vez explica todo. La tarea consiste en relacionar fuentes, contrastar hipótesis y distinguir entre una señal relevante, una actividad legítima y una coincidencia.
Documenta y comunica los resultados
El resultado debe poder entenderse y revisarse. Un informe técnico describe el objetivo, los elementos recibidos, los procedimientos utilizados, las limitaciones y los hallazgos. Cuando el trabajo forma parte de una causa judicial, la presentación y las responsabilidades se ajustan a las reglas de la jurisdicción y a lo dispuesto por la autoridad competente.
Conocé qué estudiar para trabajar en ciberseguridad
¿Qué tipos de evidencia digital se analizan?
La evidencia digital es información obtenida de un medio tecnológico que puede ayudar a comprender un hecho. No se limita a documentos guardados en una computadora. Según el alcance y las autorizaciones del caso, también puede incluir:
- archivos, carpetas, imágenes, videos y documentos;
- correos electrónicos y comunicaciones digitales;
- metadatos, como fechas de creación, modificación o ubicación;
- registros de acceso, actividad y eventos de seguridad;
- datos de computadoras, celulares y unidades de almacenamiento;
- información de servidores, redes, aplicaciones y servicios en la nube;
- configuraciones, cuentas, permisos y rastros de ejecución de programas.
Imaginá que una organización detecta la descarga de documentos fuera del horario habitual. Un registro de acceso puede indicar qué cuenta inició sesión; el equipo utilizado puede aportar rastros de archivos abiertos; y los registros de red pueden mostrar una transferencia. Ninguna pieza, por sí sola, necesariamente confirma una conducta. El análisis necesita contexto, autorizaciones y una evaluación conjunta.
La recuperación de archivos eliminados también depende de múltiples factores: el tipo de dispositivo, el tiempo transcurrido, el uso posterior, el cifrado y el modo en que se borró la información. Por eso, un profesional serio no promete recuperar todos los datos.
¿Cómo se realiza una investigación forense digital?
Cada investigación tiene condiciones propias, pero el trabajo suele organizarse en etapas. En Argentina, el protocolo elaborado por el Ministerio de Seguridad y el Ministerio Público Fiscal para las fuerzas federales contempla la identificación, recolección, preservación, procesamiento y presentación de evidencia digital. Ese protocolo tiene un ámbito de aplicación específico, pero permite comprender por qué el orden y la documentación son centrales.
- Definir el objetivo y el alcance. Se establecen las preguntas que debe responder el análisis, los sistemas involucrados y las autorizaciones disponibles.
- Identificar y registrar los elementos. Se describe el estado de dispositivos, cuentas, soportes o servicios que podrían contener información relevante.
- Adquirir y preservar la evidencia. Cuando corresponde, se generan copias o imágenes forenses y se aplican procedimientos para evitar modificaciones innecesarias.
- Procesar y analizar los datos. Se organizan los elementos, se construyen líneas de tiempo y se buscan relaciones que permitan aceptar o descartar hipótesis.
- Documentar y presentar los resultados. El informe explica qué se hizo, qué se encontró, qué limitaciones existieron y cómo se sostienen las conclusiones.
Fuente de referencia: Protocolo para la identificación, recolección, preservación, procesamiento y presentación de evidencia digital.
¿Qué es la cadena de custodia digital?
La cadena de custodia es el registro que permite seguir la trazabilidad de un elemento: quién lo tuvo, cuándo lo recibió o entregó, en qué estado se encontraba y qué acciones se realizaron. No es una herramienta de análisis, sino un conjunto de documentos y controles que acompañan la evidencia.
En el entorno digital, esa trazabilidad ayuda a responder una pregunta básica: ¿la información analizada conserva su integridad desde que fue obtenida? Para comprobarlo pueden utilizarse valores hash, identificadores alfanuméricos calculados a partir de los datos. Si el contenido cambia, el valor resultante también cambia.
Una imagen forense, por su parte, es una réplica completa del contenido y la estructura de un medio de almacenamiento. Trabajar sobre esa réplica, con los controles adecuados, permite reducir la intervención sobre el original. La técnica concreta siempre depende del dispositivo, el estado en que se encuentra y el marco de autorización.
Informática forense y respuesta a incidentes: ¿son lo mismo?
No, no son lo mismo. La respuesta a incidentes busca detectar, contener y gestionar un evento de seguridad para reducir su impacto y recuperar la operación, mientras que la informática forense se enfoca en preservar y analizar rastros digitales para comprender en detalle lo sucedido. En el ámbito corporativo, ambas disciplinas suelen integrarse en un proceso unificado conocido como DFIR (Digital Forensics and Incident Response o Análisis Forense Digital y Respuesta a Incidentes).
La coordinación importa porque una acción urgente puede modificar evidencia. Aislar un equipo, cerrar una sesión o eliminar un archivo malicioso puede ser necesario para contener una amenaza, pero también cambia el estado del sistema. Los equipos definen procedimientos para equilibrar continuidad, seguridad y preservación.
Este trabajo se vuelve especialmente relevante cuando las organizaciones buscan mejorar su capacidad de recuperación. La nota sobre ciberseguridad en empresas en 2026 desarrolla ese enfoque de resiliencia frente a incidentes.
¿Qué habilidades necesita un perfil de informática forense?
El análisis forense requiere una base técnica amplia y una forma de trabajo metódica. Las herramientas cambian según el entorno, pero algunas capacidades aparecen de manera recurrente:
- comprensión de sistemas operativos, almacenamiento y dispositivos;
- conocimientos de redes, registros y protocolos;
- fundamentos de seguridad informática y respuesta a incidentes;
- capacidad para organizar datos y reconstruir líneas de tiempo;
- documentación precisa de procedimientos y hallazgos;
- pensamiento crítico para contrastar hipótesis;
- comunicación clara para explicar resultados técnicos;
- conocimiento del marco legal y de privacidad aplicable al caso.
Además de saber usar software especializado, hay que comprender qué hace cada herramienta, qué limitaciones tiene y cómo validar sus resultados. Automatizar una búsqueda puede acelerar el trabajo, pero no reemplaza el criterio profesional.
¿Dónde puede desarrollarse este perfil?
Los conocimientos de análisis forense pueden aplicarse en equipos de ciberseguridad, respuesta a incidentes, investigaciones internas, prevención de fraude, consultoría, organismos públicos y laboratorios periciales. Las tareas y los requisitos varían según el sector y la responsabilidad del puesto.
También conviene diferenciar el rol profesional del cargo formal de perito. Una persona puede analizar evidencia digital dentro de una empresa sin intervenir en un proceso judicial. Para actuar como perito en una causa pueden existir requisitos procesales, registros, designaciones o incumbencias que dependen de la jurisdicción.
Si te interesa este campo, una formación en seguridad informática puede ayudarte a construir bases en redes, sistemas, detección de amenazas y respuesta a incidentes. Después, podés profundizar en técnicas forenses, procedimientos de evidencia y herramientas específicas de acuerdo con el recorrido que quieras desarrollar.
Explorá la Tecnicatura en Seguridad Informática
Preguntas frecuentes
Pregunta: ¿Cuál es la diferencia entre informática forense y ciberseguridad?
Respuesta: La ciberseguridad busca proteger sistemas, datos y servicios frente a riesgos digitales. La informática forense se concentra en identificar, preservar y analizar rastros para reconstruir un hecho. Pueden trabajar juntas durante una investigación o respuesta a incidentes.
Pregunta: ¿Un perito digital solo trabaja en causas judiciales?
Respuesta: No necesariamente. Los conocimientos forenses también se aplican en investigaciones internas, fraude, respuesta a incidentes y consultoría. La actuación como perito judicial tiene requisitos que dependen de la jurisdicción y del proceso.
Pregunta: ¿Se puede recuperar cualquier archivo eliminado?
Respuesta: No. La posibilidad de recuperación depende del dispositivo, el método de borrado, el cifrado, el tiempo transcurrido y el uso posterior. Ningún análisis responsable puede garantizar que todos los archivos serán recuperables.
Pregunta: ¿Qué es una imagen forense?
Respuesta: Es una réplica completa, sector por sector, de la estructura y el contenido de un medio de almacenamiento. Permite realizar análisis sobre una copia controlada y reducir la intervención sobre el soporte original.
Pregunta: ¿Qué se estudia para trabajar en informática forense?
Respuesta: Suele ser útil construir bases en sistemas operativos, redes, almacenamiento, seguridad informática, scripting, análisis de registros y documentación técnica. Para intervenir en contextos judiciales también necesitás conocer las reglas aplicables a la evidencia y al trabajo pericial.
La informática forense convierte rastros dispersos en una reconstrucción técnica que puede revisarse y explicarse. Para hacerlo bien, combina conocimiento tecnológico, cuidado de la evidencia y documentación rigurosa. Si este campo te interesa, podés empezar por fortalecer tus bases de seguridad informática y conocer cómo trabajan los equipos que detectan, investigan y responden a incidentes digitales.
