Medicina natural · Cuentos infantiles · Ciberseguridad

Orden de volatilidad en forense digital, explicado simple

Entendé qué es el orden de volatilidad en forense digital, qué evidencia se pierde primero al apagar un equipo y qué hacer para no arruinar la prueba.

CIBERSEGURIDAD

10/9/20264 min read

Orden de volatilidad, explicado sin manual

Imaginá que llegás a la escena de un incidente y en el piso hay huellas de pies mojados, un cubito de hielo derritiéndose y una carta guardada en un cajón. ¿Qué fotografiás primero? Lo lógico es empezar por lo que está a punto de desaparecer: el hielo y las huellas se esfuman en minutos, y la carta va a seguir ahí mañana.

En el mundo digital pasa exactamente lo mismo, y a esa lógica se la llama orden de volatilidad. Es una de las reglas más importantes del análisis forense digital, y se entiende sin ser técnico.

Lo explicamos en nuestro artículo sobre la cadena de custodia digital: Cadena de custodia digital: el primer fallo lo contamina todo”

Qué es el orden de volatilidad

La volatilidad es qué tan rápido desaparece un dato. Algunos datos de una computadora se borran en el instante en que la apagás. Otros pueden quedar guardados durante años.

El orden de volatilidad es la lista que indica qué evidencia digital hay que recolectar primero, empezando por lo que más rápido se pierde y terminando por lo que más dura. Es la guía que usan los especialistas en forense digital para no perder pruebas por ir en el orden equivocado.

Por qué importa tanto

Cuando algo sale mal en un equipo (un ataque, un fraude, una filtración de datos), la evidencia es frágil. Un solo gesto apurado, como apagar la computadora “para que deje de hacer cosas raras”, puede borrar justo la prueba que mostraba qué pasó.

Respetar el orden de volatilidad permite:

  • Capturar primero lo que desaparece más rápido, antes de que sea tarde.

  • Evitar que la prueba pierda validez, algo clave si el caso termina en un juicio.

  • Reconstruir lo que ocurrió con más datos y menos huecos.

El orden, de lo más frágil a lo más duradero

Esta es la escalera completa, explicada en criollo:

1. Lo que está dentro del procesador. Son los datos que la computadora está usando en este mismo instante. Duran fracciones de segundo y, en la práctica, no se pueden recolectar en un caso común. Se mencionan porque son el primer escalón.

2. La memoria RAM. Es el espacio de trabajo temporal de la computadora, como un escritorio donde tiene todo lo que está usando ahora. Ahí se guardan los programas abiertos, las conexiones activas con internet e incluso contraseñas que se estaban usando. Si alguien instaló un programa malicioso que vive solo en la memoria, apenas apagás el equipo, desaparece sin dejar rastro. Es el escalón que más importa en la práctica.

3. Los archivos temporales y el estado del sistema. Son datos que la computadora guarda de forma pasajera mientras trabaja y que se limpian solos con el tiempo o al reiniciar.

4. El disco duro o la unidad de almacenamiento. Es donde viven tus archivos, tus programas y el historial del equipo. Dura mucho más que la memoria, aunque también se puede alterar si se usa el equipo sin cuidado.

5. Los registros en otros lugares. Muchos sistemas guardan un diario de lo que pasa en otro equipo, un servidor o la nube. Su duración depende de cuánto tiempo estén configurados para conservarse: si nadie los resguarda, también se borran solos.

6. Las copias de seguridad y los archivos guardados a largo plazo. Son lo más estable: discos externos, backups, archivos históricos. Si se guardan bien, pueden durar años.

La regla es siempre la misma: de arriba hacia abajo. Primero lo que se esfuma rápido, después lo que se queda.

El error más común: apagar el equipo

Es la reacción instintiva de casi todo el mundo, y puede ser el peor movimiento posible. Al apagar una computadora se pierde todo el contenido de la memoria RAM, justo el escalón que podía tener las pistas más valiosas, como qué programas estaban corriendo o con quién se estaba comunicando el equipo.

Por eso, en un caso serio, los especialistas hacen primero una copia de la memoria (lo que se llama volcado de memoria) mientras el equipo sigue encendido, y recién después pasan a los discos.

Para entender en profundidad qué es la RAM forense y por qué es tan crítica en una investigación: RAM forense: por qué apagar una computadora puede destruir la evidencia

Qué hacer si no sos especialista

Si te enterás de que un equipo puede estar comprometido, lo mejor es actuar con calma y no improvisar:

  • No lo apagues ni lo reinicies sin consultar antes a un especialista, salvo que haya un riesgo inmediato que lo justifique.

  • No sigas usándolo ni abras archivos, porque cada acción modifica datos que podían servir como evidencia.

  • Desconectalo de internet (por ejemplo, sacando el cable de red o activando el modo avión) si hay riesgo de que el problema se siga extendiendo.

  • Anotá lo que viste: qué hora era, qué mensajes aparecieron, qué estaba pasando en pantalla. Sacarle una foto a la pantalla con el celular también ayuda.

  • Llamá a un profesional en forense digital o seguridad informática lo antes posible. Si el incidente está activo, el triage de alertas es el primer paso para decidir cómo actuar: Triage de alertas: los 5 minutos que definen si un incidente escala

Estos pasos no reemplazan el trabajo de un especialista, pero evitan que sin querer se arruine la evidencia antes de que llegue.

Orden de volatilidad y cadena de custodia

Estos dos conceptos trabajan juntos. El orden de volatilidad responde qué recolectar primero, y la cadena de custodia responde cómo registrar y proteger cada cosa recolectada para que nadie pueda decir que fue alterada. Si te interesa ese segundo tema, lo explicamos en nuestro artículo sobre la cadena de custodia digital.

Conclusión

En forense digital, el tiempo es parte de la evidencia. Lo que está en la memoria de una computadora puede desaparecer con un solo clic en “apagar”, mientras que lo que está en el disco suele sobrevivir. Por eso se recolecta siempre de lo más frágil a lo más duradero. Entender esta lógica, como con el cubito de hielo y la carta guardada, ya te pone un paso adelante: sabés que, ante la duda, lo más importante es no tocar nada y pedir ayuda a tiempo.