Preservar evidencias digitales consiste en recogerlas por orden de volatilidad, garantizar su integridad mediante funciones hash, documentar cada acción y mantener la cadena de custodia, conteniendo el incidente sin destruir información. En España, esto condiciona tanto su validez probatoria como el cumplimiento de las obligaciones de notificación.
Cuando ocurre un ciberincidente, la reacción natural es restaurar la actividad cuanto antes: reinstalar el equipo, restablecer la contraseña, borrar el correo malicioso o recuperar desde la copia de seguridad. Cada una de estas acciones, hecha sin método, puede destruir justo la información necesaria para responder a cuatro preguntas críticas:
- ¿Cómo entró el atacante?
- ¿Qué hizo?
- ¿Qué datos se vieron afectados?
- ¿Sigue dentro?
La calidad de una investigación, y la validez de sus evidencias ante autoridades, aseguradoras y tribunales, se decide en las primeras horas del incidente.
¿Qué es una evidencia digital?
Una evidencia digital es cualquier información almacenada o transmitida en formato digital que puede servir para reconstruir los hechos de un incidente. Incluye el contenido de la memoria, los ficheros, los registros de actividad, el tráfico de red, los correos electrónicos y los logs de servicios en la nube.
Su característica principal es también su mayor debilidad: es volátil, fácil de modificar y fácil de destruir, a menudo sin dejar rastro de la alteración.
Evidencia digital, prueba electrónica y análisis forense: diferencias
- Evidencia digital: la información en bruto que se identifica, recoge y preserva durante el incidente.
- Análisis forense: el proceso técnico y metodológico que examina esas evidencias para reconstruir los hechos y extraer conclusiones.
- Prueba electrónica: la evidencia que se aporta a un procedimiento judicial o administrativo y cuya validez valora el juez o la autoridad competente.
Una evidencia mal recogida puede seguir siendo útil para la investigación técnica, pero perder buena parte de su valor como prueba.
Principios para preservar evidencias digitales con garantías
Las normas de referencia coinciden en seis principios básicos:
- Mínima alteración. Cada acción sobre un sistema lo modifica. El objetivo es reducir esas alteraciones al mínimo imprescindible y documentar las que sean inevitables.
- Integridad. Se calcula un hash (preferiblemente SHA-256) de cada evidencia en el momento de la adquisición. Cualquier cambio posterior altera el hash y demuestra la manipulación.
- Cadena de custodia. Se registra quién ha tenido la evidencia, cuándo, dónde y para qué, desde su recogida hasta su presentación.
- Documentación. Se anota cada acción con fecha, hora (indicando la zona horaria, idealmente UTC), responsable, herramienta y resultado.
- Competencia. La recogida la realiza personal formado o, en su defecto, siguiendo un procedimiento escrito y probado.
- Autorización. Se cuenta con la autorización adecuada antes de recoger evidencias, especialmente cuando pueden contener datos personales o comunicaciones de empleados.
Estos principios se recogen en normas como ISO/IEC 27037 (adoptada en España como UNE-EN ISO/IEC 27037), UNE 71505 (sistema de gestión de evidencias electrónicas), UNE 71506 (metodología para el análisis forense de evidencias electrónicas) y RFC 3227, que establece el orden de volatilidad.
El orden de volatilidad: qué evidencias recoger primero
El orden de volatilidad indica que deben recogerse primero las evidencias que desaparecen antes. Apagar un equipo o reiniciar un servicio puede eliminar en segundos información que nunca podrá recuperarse.
| Orden | Evidencia | Por qué es urgente |
|---|---|---|
| 1 | Memoria RAM | Se pierde al apagar; contiene procesos, claves y conexiones activas |
| 2 | Conexiones de red y estado del sistema | Cambian continuamente |
| 3 | Procesos en ejecución | Desaparecen al terminar o reiniciar |
| 4 | Ficheros temporales | El sistema los sobrescribe con el uso |
| 5 | Disco | Persistente, pero se altera con cada escritura |
| 6 | Logs locales y en la nube | Sujetos a rotación y a periodos de retención limitados |
| 7 | Copias de seguridad y archivos | Más estables, pero pueden estar comprometidas o rotar |
En los entornos cloud, el orden clásico necesita un matiz importante. Los logs de servicios en la nube no se pierden al apagar un equipo, pero caducan:
- En Microsoft 365, el registro de auditoría estándar se conserva 180 días.
- Los registros de inicio de sesión de Microsoft Entra ID suelen conservarse solo 30 días con licencias P1 o P2, y menos sin ellas.
Si el incidente se detecta tarde, la evidencia clave puede estar a punto de desaparecer.
Cómo contener un incidente sin destruir evidencias
La contención y la preservación no son incompatibles, pero exigen disciplina. Esta es la guía básica para los primeros intervinientes.
Qué hacer:
- Aislar el equipo de la red (desconectar el cable, desactivar la wifi o aislarlo desde el EDR) en lugar de apagarlo.
- Capturar la memoria RAM antes de reiniciar, reinstalar o ejecutar herramientas de limpieza.
- Deshabilitar la cuenta comprometida y revocar sus sesiones activas, en lugar de borrarla.
- Conservar los correos maliciosos y aplicar una retención legal (litigation hold) al buzón afectado.
- Exportar los logs cloud que estén próximos a caducar.
- Anotar cada acción con hora, responsable y motivo desde el primer minuto.
Qué no hacer:
- Apagar o reiniciar el equipo sin haber valorado la captura de memoria.
- Reinstalar el sistema o restaurar desde copia de seguridad antes de adquirir una imagen.
- Borrar cuentas, buzones, reglas de correo o aplicaciones sospechosas.
- Ejecutar antivirus o herramientas de limpieza sobre el sistema afectado sin documentarlo.
- Abrir o reenviar archivos sospechosos desde equipos de trabajo.
- Comunicar el incidente por canales que el atacante pueda estar vigilando, como el correo corporativo comprometido.
Evidencias por tipo de entorno
Equipos y servidores
En equipos y servidores, la prioridad es:
- Capturar la memoria.
- Obtener una imagen forense del disco, utilizando bloqueadores de escritura cuando sea posible.
- Recoger los artefactos del sistema: registros de eventos, historial de ejecución, tareas programadas, servicios, usuarios locales y persistencias.
En servidores críticos que no pueden detenerse, se realizan adquisiciones en caliente documentando el impacto. En máquinas virtuales, las instantáneas (snapshots) permiten capturar memoria y disco con menos alteración.
Identidades (Microsoft Entra ID)
La mayoría de los incidentes actuales empiezan con el compromiso de una identidad. Antes de restablecer contraseñas o eliminar elementos, conviene preservar:
- Los registros de inicio de sesión (interactivos y no interactivos) y los registros de auditoría.
- Los métodos de autenticación registrados por la cuenta, incluidos los añadidos por el atacante.
- Los consentimientos concedidos a aplicaciones y las entidades de servicio creadas o modificadas.
- Las asignaciones de roles y cualquier cambio en permisos privilegiados.
Exportar estos registros antes de aplicar cambios evita perder la secuencia de acciones del atacante. Para profundizar en este escenario, consulta nuestra guía sobre el compromiso de cuentas en Microsoft 365.
Microsoft 365 y servicios cloud
En Microsoft 365, gran parte de la evidencia reside en registros cuya disponibilidad depende de la licencia y de la configuración previa al incidente:
- Registro de auditoría unificado: con Audit (Standard) se conserva 180 días; con Audit (Premium), un año para Exchange, SharePoint, OneDrive y Entra ID. Si la auditoría no estaba habilitada antes del incidente, esos registros no existen.
- Buzones de correo: reglas de bandeja de entrada, reenvíos, accesos a elementos de correo y mensajes enviados. Una retención legal o de eDiscovery impide que se pierdan.
- SharePoint y OneDrive: accesos, descargas y uso compartido de ficheros.
- Microsoft Defender XDR: alertas, incidentes y datos de búsqueda avanzada, con periodos de retención propios.
La recomendación práctica es exportar y preservar estos registros desde el primer momento, aunque todavía no se sepa si serán necesarios. Lo explicamos en detalle en nuestra guía de análisis forense en Microsoft 365.
Red y herramientas de seguridad (firewall, EDR, SIEM)
Los registros del firewall, el proxy, la VPN, el DNS, el EDR y el SIEM permiten reconstruir los movimientos del atacante entre sistemas y detectar posibles exfiltraciones. Muchos de estos sistemas rotan los logs en días o semanas, así que conviene:
- Exportar los registros del periodo relevante.
- Suspender temporalmente la rotación automática cuando sea posible.
- Preservar las alertas y la telemetría del EDR antes de que el agente se reinstale o se elimine del equipo.
Cómo preservar evidencias digitales en 7 pasos
Paso 1: Activar el plan de respuesta y autorizar la recogida
Activa el plan de respuesta a incidentes y designa a un responsable de la investigación. Obtén la autorización de la dirección y, cuando haya datos personales o comunicaciones de empleados implicados, implica al Delegado de Protección de Datos y a la asesoría jurídica.
Paso 2: Documentar la situación e iniciar un registro de acciones
Antes de tocar nada, documenta el estado del sistema con fotografías, capturas de pantalla y notas: qué se observa, quién lo detectó y cuándo.
A partir de ese momento, registra cada acción con fecha, hora, responsable, herramienta y resultado.
Paso 3: Recoger primero las evidencias volátiles
Sigue el orden de volatilidad: memoria, conexiones, procesos y estado del sistema. En paralelo, identifica los logs cloud próximos a caducar y exporta su contenido.
Paso 4: Adquirir imágenes de disco y exportaciones cloud
Obtén imágenes forenses completas de los discos afectados, con bloqueadores de escritura cuando sea posible. En la nube, exporta los registros de auditoría, inicios de sesión y buzones mediante herramientas oficiales, documentando los filtros y parámetros utilizados.
Paso 5: Calcular hashes, etiquetar y almacenar de forma segura
Calcula el hash de cada evidencia en el momento de su adquisición y vuelve a comprobarlo antes de cada análisis. Etiqueta cada elemento con un identificador único y guárdalo en un almacenamiento con acceso restringido y registrado.
Para reforzar la integridad, se puede aplicar un sellado de tiempo cualificado conforme al Reglamento eIDAS.
Paso 6: Registrar la cadena de custodia en cada traspaso
Cada vez que una evidencia cambia de manos (del técnico al analista, al perito o a la autoridad), registra quién entrega, quién recibe, cuándo, por qué y el hash verificado en ese momento.
Paso 7: Preparar las evidencias para uso legal, regulatorio y asegurador
Organiza las evidencias y la documentación para sus posibles destinos:
- La notificación a autoridades.
- La reclamación al ciberseguro.
- Una denuncia o un procedimiento judicial.
Trabaja siempre sobre copias verificadas y conserva los originales intactos.
Validez legal de las evidencias digitales en España
En España, la valoración de una evidencia digital como prueba corresponde al juez. Hay tres elementos que refuerzan de forma significativa su credibilidad:
- La integridad (hashes).
- La trazabilidad (cadena de custodia).
- El rigor del método empleado (normas reconocidas).
En el ámbito civil, la Ley de Enjuiciamiento Civil admite como medios de prueba los instrumentos que permiten archivar y reproducir datos, y contempla su impugnación cuando se cuestiona su autenticidad. En el ámbito penal, la Ley de Enjuiciamiento Criminal regula, desde la reforma de 2015, las diligencias de investigación tecnológica, que en muchos casos requieren autorización judicial.
Hay varias piezas que aportan garantías adicionales:
- Las normas UNE 71505 y UNE 71506, junto con ISO/IEC 27037, proporcionan una metodología reconocida que facilita defender cómo se obtuvo la evidencia.
- El perito informático aporta un dictamen independiente sobre las evidencias y puede ratificarlo en sede judicial. Conviene implicarlo pronto cuando se prevea un procedimiento judicial o la impugnación de la prueba.
- Los servicios de confianza del Reglamento eIDAS, como el sellado de tiempo cualificado, ayudan a acreditar que una evidencia existía en un momento determinado y no ha sido modificada.
Dado que cada procedimiento tiene sus particularidades, es recomendable validar con asesoría jurídica la estrategia de recogida desde el inicio del incidente.
Obligaciones de notificación de ciberincidentes en España
La preservación de evidencias está directamente ligada a las obligaciones de notificación: sin evidencias no es posible determinar el alcance del incidente ni informar con precisión a las autoridades.
| Normativa | A quién se notifica | Plazo | Cuándo aplica |
|---|---|---|---|
| RGPD | AEPD | 72 horas desde que se tiene constancia | Brechas de datos personales con riesgo para los derechos de las personas |
| ENS (RD 311/2022) | CCN-CERT | Según la criticidad, conforme a la Guía Nacional de Notificación | Sector público y sus proveedores |
| RDL 12/2018 (NIS1, vigente) | INCIBE-CERT o CCN-CERT y la autoridad competente | Sin dilación indebida | Operadores de servicios esenciales y proveedores de servicios digitales |
| NIS2 (ley en tramitación) | CSIRT y autoridad competente | Aviso en 24 h, notificación en 72 h, informe final en 1 mes | Entidades esenciales e importantes, cuando se apruebe la ley |
| DORA | Banco de España, CNMV o DGSFP | Inicial en 4 h desde la clasificación (máx. 24 h), intermedia en 72 h, final en 1 mes | Entidades financieras ante incidentes TIC graves |
Sobre el estado de NIS2: a octubre de 2026, la Ley de Coordinación y Gobernanza de la Ciberseguridad, que transpone NIS2, sigue en tramitación parlamentaria y no se ha publicado en el BOE. Mientras tanto, sigue aplicándose el Real Decreto-ley 12/2018. Las empresas incluidas en el ámbito de NIS2 deberían preparar ya sus procedimientos de notificación.
El documento operativo de referencia para clasificar y notificar incidentes es la Guía Nacional de Notificación y Gestión de Ciberincidentes. Para obtener orientación, las empresas y los ciudadanos pueden llamar a la línea 017 de INCIBE, gratuita y confidencial.
Plantilla de cadena de custodia
Un registro de cadena de custodia debería incluir, como mínimo, los siguientes campos:
- Identificador único de la evidencia
- Descripción de la evidencia (tipo, marca, modelo, número de serie o fuente cloud)
- Ubicación y sistema de origen
- Fecha y hora de la adquisición (con zona horaria)
- Persona que realiza la adquisición
- Método y herramienta utilizados (con versión)
- Hash calculado (algoritmo y valor)
- Lugar y condiciones de almacenamiento
- Registro de cada traspaso: quién entrega, quién recibe, fecha, hora y motivo
- Verificación del hash en cada traspaso
- Observaciones e incidencias
- Firma de cada persona que interviene
Errores habituales al preservar evidencias
Restaurar antes de investigar. Recuperar desde una copia de seguridad o reinstalar el sistema elimina las evidencias y puede reintroducir al atacante si no se conoce la vía de entrada.
Apagar el equipo por instinto. Se pierde la memoria, que a menudo contiene la única prueba de un malware que no deja rastro en disco.
Borrar cuentas o correos maliciosos. Eliminar la cuenta comprometida o el correo de phishing destruye la evidencia de lo que ocurrió.
Descubrir tarde que los logs no existían. Muchas organizaciones comprueban la retención de sus logs cloud durante el incidente, cuando ya no hay solución. La auditoría debe estar configurada antes.
No documentar las acciones. Una evidencia sin registro de quién la recogió, cuándo y cómo pierde buena parte de su valor probatorio.
Investigar sobre los originales. Todo análisis debe hacerse sobre copias verificadas mediante hash.
Conclusión: la investigación se gana en las primeras horas
La preservación de evidencias digitales es la base de cualquier investigación de incidentes con garantías. Determina si la empresa podrá:
- Entender qué ocurrió.
- Cumplir sus obligaciones de notificación.
- Reclamar al ciberseguro.
- Defender su posición ante un tribunal.
En España, la combinación de normas técnicas (ISO/IEC 27037, UNE 71505 y UNE 71506), requisitos legales de prueba y obligaciones de notificación (RGPD, ENS, DORA y la futura ley de NIS2) exige que los primeros intervinientes actúen con rigor forense desde el primer minuto. En entornos cloud, donde la evidencia caduca, esa preparación tiene que existir antes del incidente.
ne Digital ayuda a las organizaciones a:
- Preparar procedimientos de recogida de evidencias.
- Configurar la auditoría y la retención en Microsoft 365 antes de que ocurra un incidente.
- Preservar evidencias en entornos Microsoft y cloud.
- Apoyar los procesos de notificación y de investigación forense.
Si el incidente es de tipo ransomware, consulta también nuestra guía de respuesta ante un ataque de ransomware.
Contacte a los expertos de ne Digital para conocer más sobre las buenas prácticas para respuesta a incidentes.
