ISO/IEC 27042 Lineamientos para el análisis e Interpretación de Evidencia Digital

La norma ISO/IEC 27042 ofrece directrices para el análisis e interpretación de pruebas digitales, asegurando su validez, reproducibilidad y aceptación legal en investigaciones de seguridad. 

Se puede considerar como la continuación directa de la norma ISO/IEC 27037, la cual dicta los lineamientos para un trabajo de campo, mientras que la ISO/IEC 27042 establece los lineamientos para el trabajo en laboratorio

1. Comparativa Directa

     Característica                      ISO/IEC 27037 (Recolección)                                         ISO/IEC 27042 (Análisis)
Enfoque Principal         Fases iniciales en la escena del incidente.                  Fases posteriores en el laboratorio forense.
Actividades Clave        Identificación, adquisición y preservación.                 Examen técnico, análisis e interpretación. 
Objetivo Central           Evitar la contaminación de la prueba original.           Extraer conclusiones lógicas y repetibles.
Rol Encargado              Primeros intervinientes o técnicos de campo.           Analistas forenses y peritos judiciales.

2. Caso Práctico: Investigación de Fuga de Información

Para entender cómo cooperan, imagina una empresa de software que sufre la filtración de su código fuente por parte de un ex-empleado malintencionado. El proceso se divide estrictamente bajo ambas normas:

Fase de Campo (Bajo ISO/IEC 27037)

• Identificación: El equipo técnico localiza la laptop corporativa que el empleado devolvió.
• Adquisición: Se realiza una copia exacta bit a bit (imagen forense) del disco duro usando un bloqueador de escritura física, impidiendo que el sistema operativo altere los metadatos al encenderse.
• Preservación: Se calcula el código hash (como SHA-256) de la copia para certificar que el archivo digital no sufra modificaciones, y se firma la cadena de custodia física y digital.

• Examen: El analista forense monta la copia digital segura en una estación de trabajo aislada y recupera archivos ocultos o eliminados del espacio no asignado del disco.
• Análisis: Utilizando herramientas especializadas, el analista descubre un rastro en el registro del sistema que demuestra la inserción de una memoria USB específica no autorizada, junto a la creación de un archivo comprimido .zip con el código filtrado.
• Interpretación: El experto cruza las horas del registro USB con las marcas de tiempo de los archivos modificados. Concluye científicamente que los datos fueron extraídos de forma deliberada el último día laboral del sospechoso, redactando un informe pericial válido para un tribunal.