¿Cuándo se necesita un peritaje informático forense? Proceso para la PC de un empleado sospechoso

Desconecta el cable de la PC, cierra la tapa y por nada del mundo presiones el botón de encendido. Guarda el equipo en la caja fuerte de la empresa o en un armario bajo llave mediante un acta firmada por dos empleados autorizados. En el acta, detalla claramente la marca, modelo, número de serie de la computadora y el estado de la cinta de precinto.

Para auditar computadoras de la empresa, es crucial la política de seguridad de la información y los avisos de privacidad firmados por el empleado al ingresar. Si no hay un documento de asignación que conste que el equipo se entregó para uso laboral, el análisis que hagas podría derivar en una contrademanda de la otra parte alegando violación de la privacidad.

El año pasado nos pasó algo parecido. Contratamos a una empresa independiente para sacar imágenes de disco y hacer un informe forense de dos ordenadores, nos cobraron 32.000 TL en total. Pero gracias a ese informe la fiscalía ordenó la incautación del material digital en casa del sospechoso en solo 3 semanas. En mi opinión, valió totalmente la pena el dinero.

Para detectar el copiado se analizan los registros de conexión USB. Analizando los registros USBSTOR en el Registro de Windows, el archivo 'setupapi.dev.log' y los datos de 'Shellbags', se determina con un cien por cien de certeza técnica qué disco externo con qué número de serie se conectó y cuándo, además de qué carpetas se visualizaron.

¿En el ordenador que usaba el empleado había abierta alguna cuenta de correo personal o sesión privada ajena a la propiedad de la empresa? Y respecto a la transferencia de 40 GB en el servidor que menciona, ¿se trata exactamente de un registro de tráfico de red o de un registro de permisos de acceso al servidor de archivos?

edit: arriba escribí mal, disculpad.

Aunque te gastes un dineral en una empresa privada de informática forense, el tribunal no va a fundamentar la sentencia solo en ese informe. En cuanto la otra parte impugne, el expediente irá a un perito judicial de todos modos. Si el presupuesto de la empresa es ajustado, igual es más lógico ir directamente a la fiscalía y dejarlo bajo custodia judicial.

Hace tres años, en un caso similar, el director de nuestra empresa encendió el ordenador, le metió un USB y copió capturas de pantalla. Durante el juicio, el abogado contrario alegó: "Se ha accedido a los archivos a tal hora mi cliente no estaba en la empresa a esa hora, se han manipulado las pruebas", consiguieron anular el informe y perdimos el juicio. Por eso, no toquéis nada bajo ningún concepto.

yo de ti no dejaba q el equipo de it toque el dispositivo para nada. a nosotros nos salio mal el tema en el juzgado x culpa de un compañero q encendio el pc pa mirar los logs lo mas limpio es dejarlo en manos de alguien q sepa.

Entrando en detalle: Si intentas cambiarlo todo a la vez nada termina de asentarse.

Comprobado por experiencia.

Tiene razón.

Resumen breve para nuevos usuarios: La respuesta varía mucho según el sector, no hay una regla general.

Eso es todo, disculpa si me he extendido demasiado.

Yo también pienso lo mismo. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Espero que le sea útil.

Os explico cómo se hace en la práctica. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Si el camino de la notificación es largo la notificación no llega; una notificación que no llega significa un incidente detectado tarde. Yo seguiría por ese camino.

voy a detallar un poco el aspecto técnico. la verdad empezad con una pequeña prueba no lo integréis todo de golpe.

yo seguiría por ese camino.

Ha sido una buena idea abrir este hilo.

Gracias, esa era la respuesta que buscaba. bueno lo importante no es la cifra sino en qué se basa esa cifra.

Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones. Espero que le sea útil.

Gracias, me ha servido de mucha ayuda. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Antes de decidir, mirad qué datos tenéis en la mano. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Tomo nota, gracias. El error cometido por qué es la informática forense suele ser reversible, pero caro.