Una profesión fascinante que combina las habilidades del investigador con las del experto en tecnología. El experto forense es, a todos los efectos, un científico cuyos esfuerzos serán cada vez más valorados en el futuro.
Es una figura experta en delitos informáticos que trabaja en la ciencia forense digital y que, por lo tanto, también se adentra en la ciberseguridad. La del experto forense es una profesión que nació en la década de los ochenta del siglo pasado y que, con el paso de los años y con el avance de las tecnologías, ha ido cambiando hasta convertirse en capital incluso en la lucha entre el cibercrimen y la ciberdefensa.
Un rol que abarca más de una capacidad y el hecho de que las vías de estudio específicas para convertirse en experto forense todavía sean relativamente pocas, dice mucho: los conocimientos que debe tener son transversales y, como veremos, incluyen también habilidades blandas que no se pueden enseñar o aprender. De todas, el instinto y el olfato.
Introducción a la Profesión del Experto Forense
Un investigador prestado a la tecnología. Esta definición, más que perfectible, hace que quien desempeña el papel de experto forense (informático forense en español) frunza el ceño, porque no es una profesión que pueda ser fácilmente circunscrita.
Por su naturaleza es una figura experta en delitos informáticos y este aspecto lo convierte, al mismo tiempo, en un rol afín también a la ciberseguridad. El experto forense, al contrario de la iconografía cinematográfica, no es solo el que se presta al buen resultado de un proceso, es una figura profesional que encuentra acomodo en aquellas organizaciones (públicas y privadas) que buscan comprender las matrices de los ataques de los hackers. Piénsese, por ejemplo, en el hacking de Estado que tiene en sí matrices político-ideológicas pero también representa una herida infligida a las relaciones entre países, si no incluso una declaración de guerra.
¿Quién es el experto forense?: definición y rol
Teniendo en cuenta que el experto forense se mueve en el mundo de las pruebas digitales independientemente de si estas sirven o no en el ámbito procesal, entre sus principales tareas figuran:
- La identificación de los elementos que inducen a deducir que existe un delito.
- La adquisición de los datos que resultan del proceso de identificación.
- La conservación de los datos para garantizar que no se modifiquen.
Actividades densas que afectan a los dispositivos fijos y móviles, pero que se extienden también a los servicios de mensajería y a todas las tecnologías que pueden proporcionar pruebas digitales (sistemas operativos, software específico e incluso consolas para videojuegos).
Campo de acción: dónde trabaja un experto forense
Si nos limitamos a considerar al experto forense como un profesional que apoya a los investigadores y a todo el aparato de la justicia, es legítimo sostener que puede trabajar para agencias de investigación, compañías de seguros o en empresas de consultoría.
Cuando se entra en la acepción del experto forense al servicio de los gobiernos y emanaciones de los Estados, entonces encuentra trabajo principalmente en el sector público, entre las filas de los servicios para la protección del Estado en su sentido literal (ciudadanos, instituciones y territorio) y, por lo tanto, también en las fuerzas del orden.
Un experto forense también puede ser un profesional independiente y ofrecerse a una amplia gama de clientes.
La importancia del experto forense
La importancia del experto forense no se busca solo en el ámbito digital, porque se hace patente en la Constitución de diferentes países, donde se delinean la corrección y la transparencia de los procedimientos judiciales.
El trabajo de investigación típico del experto forense es una ventaja para las autoridades judiciales, pero debe realizarse con esmero y en pleno respeto de las normas que, si se violan, marcan un punto a favor del acusado en un proceso, así como lo marcan una conservación errónea de los datos adquiridos.
En el caso de que un procedimiento judicial se base en pruebas digitales, el trabajo del experto forense es literalmente la aguja de la balanza que puede incriminar a los autores de un delito o, en virtud del derecho de defensa y el debido proceso, tal como se entiende de la Constitución en primer lugar y, en cascada, de los códigos de procedimiento, ayudarlos involuntariamente a que su posición sea menos delicada.
Competencias Requeridas para Convertirse en Experto Forense Informático
Son muchas y, como es de esperar, no todas se refieren a las tecnologías. De hecho, el experto forense debe saber moverse con facilidad también entre las normas y los procedimientos jurídicos, además de tener un profundo conocimiento de la ética.
En el ámbito tecnológico debe tener conocimientos profundos en criptografía, ciencia de datos, ciberseguridad, infraestructuras de TI, sistemas operativos y lenguajes de programación.
Capacidad de investigación y de resolución de problemas
Son el alma de la profesión del experto forense y hacen de nexo entre las capacidades tecnológicas. Una cosa es recopilar información (que, de hecho, son datos), otra muy distinta es conseguir conectarlos entre sí para que tengan una lógica en el marco de una investigación y conduzcan a elementos probatorios utilizables en un tribunal o que, independientemente, conduzcan a la identificación sin lugar a dudas de los actores que han cometido delitos.
Sin embargo, no siempre la información es fácilmente accesible (piénsese en la necesidad de eludir protocolos criptográficos), el experto forense debe recurrir a sus habilidades de resolución de problemas que, en este caso específico, van de la mano con las de investigación.
Familiaridad con los lenguajes de programación
El experto forense debe moverse con desparpajo entre diferentes lenguajes de programación, no solo los más comunes, entre los que figuran Python, PHP, Java o Bash. El motivo se reduce al correcto desarrollo de todo lo que entra en sus funciones, que, entre otras, incluyen:
- El desarrollo de scripts útiles para los análisis forenses.
- El análisis de porciones de código malicioso y de las técnicas utilizadas por los hackers para lanzar los ataques.
- La automatización de las tareas repetitivas en la fase de investigación.
De aquí surge también la necesidad de que el experto forense tenga conocimientos en el ámbito de la ciencia de datos.
Capacidad de análisis de datos
Son varias las actividades de investigación que requieren recurrir al análisis de datos. Las principales son:
- El uso de técnicas de aprendizaje automático y de minería de datos para extraer los datos útiles para las investigaciones.
- El recurso al aprendizaje automático para comprender cómo los hackers lo han utilizado para perpetrar las ofensivas.
- La reconstrucción de la secuencia en la que los eventos se han desarrollado, incluso examinando grandes cantidades de datos procedentes de un número impreciso de dispositivos o bases de datos.
- Encontrar patrones, anomalías y conexiones entre los datos extraídos de los dispositivos objeto de las investigaciones.
No menos importante, para hacer más legibles las situaciones complejas, recurrir a la visualización de datos ayuda al experto forense a proporcionar explicaciones detalladas a todas las partes involucradas en un procedimiento jurídico o a la investigación en sí.
Herramientas y Técnicas que un Experto Forense Debería Conocer
Además de las disciplinas y los conocimientos enumerados anteriormente, un experto forense debe saber usar las herramientas típicas del sector. Los más difundidos son softwares y frameworks específicos:
- SANS Investigative Forensics Toolkit (SIFT)
- Volatility
- EnCase, para analizar imágenes de dispositivos electrónicos.
- Wireshark, para analizar los paquetes de red.
- Sleuth Kit, conjunto de herramientas de código abierto para el análisis forense.
- Computer Online Forensic Evidence Extractor (COFEE), específico para los entornos Windows.
También juega un peso específico la normativa que, de forma más o menos directa, delinea y circunscribe la actuación del experto forense.
La cadena de custodia
Es un tema amplio que va más allá de la recopilación de los dispositivos y de los datos que estos contienen y responde a la necesidad de conservar su autenticidad, que debe estar garantizada para que las pruebas adquiridas tengan valor probatorio.
Si se reduce a lo esencial, la cadena de custodia es la documentación cronológica que ilustra cómo se han tratado los indicios en el proceso que va desde su adquisición hasta su presentación en el tribunal.
De ello depende la integridad y, por lo tanto, la fiabilidad de las pruebas recopiladas, y se refiere tanto a la copia forense (que debe considerarse la original) como a las demás copias que se hayan podido producir o extraer de la original.
El principio es el de la inalterabilidad, que, en el ámbito de las ciencias forenses digitales, se traduce en un documento en el que se enumeran las operaciones realizadas, indicando cuándo y quién las ha realizado, de qué forma y en qué lugar se ha ejercido la custodia. No se trata de un simple sello, sino de un procedimiento articulado.
Comprender la función de hash
Cuando se obtiene una copia forense, como ya se ha dicho, es necesario evitar que esta sea objeto de alteraciones. Para garantizar su autenticidad se procede con el cálculo de la función de hash que certifica su veracidad.
La función de hash es un algoritmo que reduce a una cadena de longitud fija un documento que, por su naturaleza, tiene una longitud arbitraria. El valor de hash, también conocido como checksum criptográfico, es de hecho la huella única que identifica al propio documento y que permite verificar que este no se ha modificado.
El uso de la criptografía en el ámbito de la informática forense
Son varios los motivos por los que la criptografía es el pan del experto forense. Es fundamental durante la recopilación de las pruebas en caso de que nos encontremos con datos encriptados, al igual que es de vital importancia en el momento en que los datos se analizan.
No menos importante, examinando las claves de encriptación es posible reconstruir los accesos a un sistema y las actividades que se han realizado por quien lo ha utilizado. Del mismo modo, lograr comprender cómo se encriptan los datos en tránsito, permite realizar análisis detallados y profundos del tráfico de red con el fin, por ejemplo, de detectar actividades sospechosas.
La criptografía debe entenderse como de vital importancia para todas las profesiones que giran en torno al concepto de ciberseguridad.
Curso Formativo para Convertirse en Experto Forense
La difusión del digital ha modificado la oferta de formación para la profesión de experto forense. Siempre es buena cosa contar con una trayectoria universitaria, pero, en alternativa, nacen trayectorias de estudio impartidas en la fórmula del e-learning que ofrecen una formación profunda a la que, sin embargo, es conveniente acompañar de la experiencia práctica.
Curso Informática Forense: Buenas Prácticas
La formación jurídica
Una licenciatura en una disciplina científico-tecnológica, aunque deseable y no necesaria, es complementaria a una formación jurídica. Puede ser una formación típica del ámbito legal, pero también puede ajustarse a los propios marcos y estándares normativos vigentes.
También la formación jurídica debe ser continuamente renovada, como demuestran los recientes debates que están surgiendo en torno a la forense de la IA, útil, por ejemplo, tanto para examinar grandes cantidades de datos en tiempos reducidos como para identificar contenidos ilegales.
Estudios universitarios: qué cursos y especializaciones elegir
Una licenciatura en una disciplina STEM (del inglés Science, Technology, Engineering and Mathematics) es un buen punto de partida.
Son varias las universidades que ofrecen másteres en Ciencias Forenses, en este enlace es posible consultar una selección de cursos impartidos por universidades americanas, incluso en línea.
Por último, la certificación Certified Forensic Computer Examiner (CFCE) es una de las más codiciadas del sector, al igual que la Computer Hacking Forensic Investigator (CHFI).
Carrera y Perspectivas de Futuro para un Experto Forense
Es una profesión cuyo futuro está todavía por escribir y se convertirá cada vez más central, también en virtud del creciente número de delitos informáticos perpetrados en todas partes del mundo.
Con la introducción de nuevas tecnologías (drones, IA más evolucionadas, etc.) cambiarán también las herramientas de trabajo del experto forense y es por eso que, más allá de los estudios y las actualizaciones constantes, es inevitable la práctica sobre el terreno.
Diversas oportunidades en el sector público y privado
Echando un vistazo al mundo del trabajo en España, la del experto forense es una figura principalmente buscada por las empresas de consultoría, que prestan conocimiento a las organizaciones públicas y privadas.
Queda la vía apetecible de la actividad profesional, es decir, el perfil del profesional independiente que trabaja por cuenta propia y presta su labor a cualquier tipo de entidad o empresa, pudiendo también contar con las pericias independientes ordenadas por los tribunales.
Remuneraciones esperadas y crecimiento profesional
Más allá del océano las remuneraciones medias rozan los 120.000 dólares al año (110.000 euros aproximadamente), en España las cifras son de difícil interpretación. También hay que decir que, buscando entre los anuncios de trabajo en línea, se devuelven resultados poco afines a la profesión de experto forense, cuyo rol aún debe consolidarse y, por lo tanto, tiene posibilidades de carrera aún en desarrollo.
Si nos limitamos a las consultorías prestadas al sistema jurídico nacional, las remuneraciones oscilan entre los 80 euros por hora y los 250 euros por hora.
