El análisis forense digital es la disciplina que recupera, preserva y examina evidencia electrónica (de un ordenador, un móvil, la nube o una red) con un método capaz de sostener sus conclusiones ante quien las cuestione después, sea un director de seguridad, una aseguradora o un juez. No es una sola técnica, sino cinco especialidades distintas según el soporte (equipos, memoria, red, móvil, nube) y un proceso de cuatro pasos que no cambia entre ellas: adquirir la evidencia sin alterarla, preservarla con su cadena de custodia intacta, analizarla y presentar los resultados de forma que otro profesional pueda reproducirlos.
Esta guía cubre esa disciplina en su sentido más amplio: los tipos de análisis forense, el proceso completo de una investigación, la cadena de custodia explicada con su marco legal, la diferencia entre el forense que hace una empresa por su cuenta y el peritaje que se presenta ante un juzgado en España, las herramientas del oficio y cómo se llega a trabajar en esto. Si tu interés es más concreto, el trabajo de responder a un incidente de seguridad activo (DFIR, Digital Forensics and Incident Response) tiene página propia con su ciclo de trabajo, sus herramientas operativas y su ruta profesional: qué es DFIR lo explica sin repetir aquí ese contenido.
Una aclaración antes de entrar en materia. El análisis forense digital corporativo (el que hace un equipo de seguridad o una consultora para entender qué pasó en un incidente) y el peritaje forense digital pericial (el que se presenta como prueba en un procedimiento judicial) comparten técnica pero no comparten exigencia legal: el primero puede ser tan riguroso como quiera la empresa que lo encarga, el segundo tiene que cumplir un marco procesal concreto para que un juez lo admita como prueba. Esta guía trata ambos, y dice en cada apartado a cuál de los dos se aplica.
¿Qué es el análisis forense digital?
El análisis forense digital aplica el método científico a la evidencia electrónica: se formula una hipótesis sobre qué ha ocurrido, se busca evidencia que la confirme o la contradiga, y se documenta cada paso de forma que un tercero pueda repetir el análisis y llegar a la misma conclusión. La diferencia con un análisis técnico cualquiera está en esa exigencia de reproducibilidad y en el cuidado de no alterar la evidencia original mientras se examina, algo que en informática no es trivial: el simple hecho de encender un ordenador apagado modifica archivos del sistema, y conectar un disco duro sin protección puede sobrescribir datos que se querían recuperar.
La disciplina nació en los años ochenta y noventa, cuando los primeros delitos con ordenadores de por medio obligaron a las fuerzas de seguridad a desarrollar procedimientos para que la evidencia digital tuviera el mismo peso que una huella dactilar o un arma. Desde entonces se ha dividido en especialidades según el tipo de soporte que hay que analizar, porque las técnicas para extraer evidencia de un disco duro, de un móvil o de un servidor en la nube tienen poco en común más allá de los principios generales.
¿Qué tipos de análisis forense digital existen?
Forense de equipos y disco
Es la especialidad más antigua y la que sostiene el resto: analizar el contenido de discos duros y unidades de estado sólido, con sistemas de ficheros como NTFS, FAT32 o ext4. Cubre la recuperación de archivos borrados (que rara vez desaparecen del todo, solo se marca su espacio como disponible hasta que algo lo sobrescribe), el análisis de metadatos, y la reconstrucción de una línea temporal de actividad a partir de fechas de creación, modificación y acceso de cada fichero.
Forense de memoria RAM
La memoria RAM contiene lo que un disco nunca llega a ver: procesos en ejecución, contraseñas en claro que un usuario ha tecleado, conexiones de red activas, y malware que se ejecuta solo en memoria sin dejar rastro en disco (fileless malware), cada vez más habitual precisamente porque complica el análisis forense clásico. La captura de memoria tiene que hacerse en caliente, con el equipo todavía encendido, porque su contenido desaparece por completo al apagarlo.
Forense de red
Analiza el tráfico que ha circulado por una red, normalmente a partir de capturas de paquetes (formato PCAP) o de registros de flujo (NetFlow), para reconstruir qué comunicaciones ha habido, con quién y con qué contenido si el tráfico no iba cifrado. Es la especialidad que permite confirmar una exfiltración de datos o identificar el servidor de mando y control de un ataque, pero depende de que alguien capturara ese tráfico antes de que ocurriera: a diferencia de un disco, una comunicación de red que no se registró en su momento no se puede recuperar después.
Forense móvil
Analiza smartphones y tablets, con retos propios frente al forense de equipos: sistemas operativos cerrados (iOS especialmente), cifrado por defecto, y aplicaciones de mensajería con sus propias bases de datos internas. La extracción de datos tiene tres niveles de profundidad: lógica (solo lo accesible a través del sistema operativo, lo más rápido y lo más limitado), de sistema de ficheros (acceso a la estructura completa de archivos) y física (una copia bit a bit del almacenamiento, el nivel más completo, que en dispositivos modernos con cifrado fuerte puede requerir técnicas avanzadas como el chip-off, desoldar el chip de memoria del dispositivo para leerlo directamente).
Forense en la nube
Es la especialidad más reciente y la que menos control da al investigador, porque la evidencia vive en infraestructura de un tercero y no en un disco que se puede incautar. El punto de partida son los logs nativos de cada proveedor: AWS CloudTrail conserva 90 días de eventos de gestión de forma gratuita en su historial de eventos por defecto, y Azure y Google Cloud tienen registros de auditoría equivalentes, todos con una retención limitada si no se configura de forma expresa un almacenamiento más largo. A eso se suman los snapshots de máquinas virtuales, que permiten preservar el estado de un sistema en la nube igual que se preservaría un disco físico. La dificultad añadida es jurisdiccional: los datos pueden estar alojados en un país distinto al de la investigación, sujetos a una ley distinta sobre qué se puede solicitar y a quién.
¿Cuál es el proceso completo de una investigación forense?
El proceso se apoya en la familia de normas ISO/IEC 27037, 27041, 27042 y 27043, que describen cómo identificar, recoger, adquirir y preservar evidencia digital (27037), cómo garantizar que los métodos usados son adecuados (27041), cómo analizarla de forma transparente y reproducible (27042) y cómo organizar el proceso de investigación de principio a fin (27043). No son de obligado cumplimiento en España, pero son la referencia técnica que un perito cita para defender su metodología si alguien la cuestiona en un juicio.
Identificación
Antes de tocar nada hay que decidir qué se va a examinar y con qué autorización: qué dispositivos, qué cuentas, qué rango de fechas. En un contexto corporativo, esta autorización suele ser interna (recursos humanos, dirección); en un contexto pericial dentro de un proceso penal, requiere autorización judicial expresa cuando afecta a dispositivos o comunicaciones de alguien investigado.
Adquisición
Es el paso donde se copia la evidencia original sin alterarla. La herramienta central de este paso es el write blocker (bloqueador de escritura), un dispositivo hardware o software que permite leer un disco sin poder escribir en él por accidente. La copia se hace bit a bit, no archivo a archivo, en formatos forenses como E01 (Expert Witness Format, el más usado, con compresión y metadatos incorporados), raw/dd (una copia exacta sin compresión ni metadatos) o AFF4 (un formato más moderno pensado para investigaciones distribuidas y evidencia muy voluminosa). Inmediatamente después de crear la copia se calcula su hash criptográfico (SHA-256 o SHA-512 son el estándar actual) y se compara con el hash del original: si coinciden, la copia es una réplica exacta y verificable: si no coinciden, algo ha cambiado y la adquisición no sirve.
Preservación
La copia forense (nunca el original, que se guarda aparte y se toca lo mínimo posible) se almacena con controles de acceso, con copias de seguridad adicionales y con el hash documentado para poder verificar en cualquier momento posterior que no se ha alterado. Es en este paso donde vive, de forma continua durante toda la investigación, la cadena de custodia que se explica en el siguiente apartado.
Análisis
Con la copia ya adquirida y preservada, el analista examina los artefactos relevantes para la hipótesis de la investigación: en un equipo Windows, el registro, el Prefetch, los logs de eventos (.evtx) y la tabla maestra de ficheros (MFT); en Linux, los logs de autenticación, el historial de bash y las tareas programadas; en un móvil, las bases de datos de aplicaciones de mensajería y los metadatos de ubicación. El resultado suele organizarse en una línea temporal (timeline) que cruza eventos de distintas fuentes para reconstruir una secuencia de hechos coherente.
Documentación y presentación
Cada paso de los anteriores se documenta a medida que ocurre, no al final: qué se hizo, cuándo, con qué herramienta, con qué resultado. El informe final traduce ese trabajo técnico a un lenguaje que su destinatario pueda entender, que no es el mismo si el destinatario es un director de seguridad interno que si es un tribunal. En el segundo caso, el perito puede tener que acudir también a juicio a ratificar su informe y responder preguntas de las partes sobre su metodología.
¿Qué es la cadena de custodia y cómo se garantiza?
La cadena de custodia es, según la definición que maneja el Tribunal Supremo, el conjunto de actos de recogida, traslado y conservación de los indicios obtenidos durante una investigación, documentados de forma que se pueda demostrar en todo momento quién ha tenido acceso a la evidencia, cuándo y qué ha hecho con ella. Si se rompe (un eslabón sin documentar, un hash que no coincide, un periodo en que nadie sabe quién tuvo la evidencia) la defensa puede impugnar la prueba entera, no solo la parte dudosa, porque ya no se puede garantizar que lo analizado sea lo mismo que se recogió.
En la práctica, la cadena de custodia se sostiene sobre tres elementos. El primero es el hash criptográfico de la evidencia, calculado en el momento de la adquisición y verificado cada vez que se accede a la copia, que demuestra matemáticamente que los datos no han cambiado. El segundo es un registro documental (a veces en papel, cada vez más en herramientas específicas) de cada persona que ha tenido acceso a la evidencia, con fecha, hora y motivo. El tercero es el almacenamiento seguro entre un acceso y otro, con controles físicos o lógicos que impidan una manipulación sin dejar rastro.
El marco legal español para la obtención de evidencia digital en un proceso penal está en la Ley de Enjuiciamiento Criminal, reformada en 2015 por la Ley Orgánica 13/2015. Sus artículos 588 bis y siguientes regulan la intervención de dispositivos y comunicaciones: exigen motivación individualizada y autorización judicial para registrar un ordenador o un móvil, y establecen que los datos obtenidos deben conservarse garantizando su integridad. La reforma no llegó a fijar un procedimiento técnico obligatorio y detallado para la cadena de custodia digital (a diferencia de lo que existe para evidencia física en la escena de un crimen), lo que en la práctica deja buena parte del rigor técnico en manos de la metodología que use cada perito, apoyada de forma habitual en la familia de normas ISO/IEC 27037 y 27043 citada antes, aunque no sean de aplicación obligatoria.
¿Qué diferencia hay entre el forense corporativo y el peritaje judicial en España?
El forense corporativo responde a la empresa que lo encarga, no a un juzgado. Cuando un equipo de seguridad interno o una consultora investiga un incidente, el objetivo es entender qué ha pasado y decidir qué hacer, y el informe resultante rinde cuentas ante dirección, ante una aseguradora si hay una póliza de ciberriesgo de por medio, o ante un regulador si toca notificar una brecha. No hace falta autorización judicial para analizar los propios sistemas de la empresa, y la cadena de custodia, aunque conviene mantenerla con rigor por si el caso escala más adelante, no está sujeta a un marco procesal específico mientras el análisis no salga de ese ámbito interno.
El peritaje judicial cambia todas esas reglas. Un perito informático forense presenta su trabajo como prueba dentro de un procedimiento, civil o penal, y tiene que cumplir el marco procesal correspondiente. En el ámbito civil, el artículo 340 de la Ley de Enjuiciamiento Civil exige que el perito posea el título oficial correspondiente a la materia del dictamen, o que sea una persona experta reconocida en esa materia si no existe un título oficial específico para ella, lo que en la práctica deja la puerta abierta a peritos sin una titulación universitaria concreta en informática forense siempre que acrediten conocimiento suficiente. En el ámbito penal, la intervención de dispositivos sigue el régimen ya descrito de la Ley de Enjuiciamiento Criminal (artículos 588 bis y siguientes), con autorización judicial como requisito para la mayoría de actuaciones sobre dispositivos de un investigado.
No existe en España un registro único y obligatorio de peritos informáticos forenses. El camino habitual pasa por colegiarse en un colegio profesional (normalmente de ingeniería informática) e inscribirse en las listas de peritos que ese colegio remite anualmente a los juzgados, de donde el Tribunal Superior de Justicia designa peritos por sorteo (insaculación) para los casos en que ninguna de las partes aporta uno propio. También es habitual y legal ser designado directamente por una de las partes sin pasar por esas listas, sobre todo en procedimientos civiles. En cualquiera de los dos casos hace falta estar dado de alta como autónomo o a través de una sociedad para poder facturar los honorarios, y el perito puede tener que acudir a juicio a ratificar su informe.
¿Qué herramientas se usan en análisis forense digital?
Para la adquisición, junto a los write blockers ya mencionados, FTK Imager y Guymager son las herramientas más usadas para crear la copia forense y calcular su hash en el mismo paso. Para el análisis de disco, Autopsy y The Sleuth Kit son la referencia gratuita y de código abierto, con capacidad de recuperar archivos borrados y navegar el sistema de ficheros completo; FTK y EnCase son los estándares comerciales del sector, con mejor indexación de grandes volúmenes de datos y una trazabilidad pensada para sostenerse en un procedimiento judicial; X-Ways Forensics es una alternativa comercial más ligera, popular entre peritos independientes por su coste inferior al de FTK o EnCase.
Para forense móvil, Cellebrite UFED y Magnet AXIOM dominan el mercado comercial, con soporte para los tres niveles de extracción descritos antes y actualizaciones constantes para seguir el ritmo de los cambios de seguridad de iOS y Android. Para forense de red, Wireshark sigue siendo el estándar para analizar capturas de tráfico, y NetworkMiner extrae de forma automática ficheros, credenciales y sesiones a partir de esas mismas capturas. Para forense de memoria, Volatility es la herramienta de referencia en el mundo abierto (con más detalle sobre su uso operativo en respuesta a incidentes en la página dedicada a DFIR). Y para construir la línea temporal que cruza evidencia de distintas fuentes, Plaso (con su interfaz log2timeline) es la herramienta más extendida entre analistas forenses e investigadores de incidentes por igual.
¿Cómo se llega a trabajar en análisis forense digital?
Hay dos caminos, según el destino sea la empresa o el juzgado, y no son excluyentes. El camino corporativo, el más habitual, pasa por un puesto técnico previo (administración de sistemas o analista de un SOC) antes de especializarse en forense o en respuesta a incidentes, con certificaciones GIAC como GCFE o GCFA como acreditación técnica reconocida por el sector; el artículo sobre DFIR de esta web detalla esa ruta con más profundidad, porque es la misma que lleva a trabajar en respuesta a incidentes.
El camino pericial añade un paso administrativo al técnico: colegiarse, inscribirse en las listas de peritos de un colegio profesional o de un Tribunal Superior de Justicia, y darse de alta como autónomo o a través de una sociedad para poder facturar. La formación técnica de base es la misma (GCFE, GCFA, CHFI de EC-Council como alternativa más económica), pero conviene sumar formación específica sobre procedimiento judicial y elaboración de informes periciales, porque un informe técnicamente impecable puede perder valor en juicio si no sigue el formato y las formalidades que exige la Ley de Enjuiciamiento Civil o la Ley de Enjuiciamiento Criminal según el caso. El mapa de certificaciones de seguridad, con 166 certificaciones verificadas y filtrables por especialidad, permite comparar todas las opciones de la familia forense (GCFE, GCFA, GNFA, CHFI y otras) por precio y formato de examen.
Para practicar antes de la primera oportunidad laboral, existen recursos gratuitos con evidencia realista: las imágenes de referencia públicas del NIST (CFReDS), plataformas de retos como CyberDefenders o Blue Team Labs Online, y la distribución SIFT Workstation, que trae preinstalado el grueso de las herramientas forenses de código abierto mencionadas en esta guía.
Forense corporativo frente a peritaje judicial, de un vistazo
| Dimensión | Forense corporativo | Peritaje judicial |
|---|---|---|
| A quién responde | La empresa, su dirección, su asegurador | Un procedimiento judicial civil o penal |
| Autorización necesaria | Interna (RRHH, dirección, política de la empresa) | Judicial (LECrim art. 588 bis y siguientes) o encargo de parte |
| Marco procesal obligatorio | Ninguno específico, buena práctica recomendable | LEC art. 340 (civil) o LECrim (penal) |
| Formato del informe | Libre, adaptado al destinatario interno | Formalidades legales, con posible ratificación en juicio |
| Titulación exigida | Ninguna por ley | Título oficial de la materia, o persona experta si no existe título específico |
| Certificación técnica habitual | GCFE, GCFA, CHFI | Las mismas, más colegiación y formación en procedimiento judicial |
Metodología y fuentes
El marco de las normas ISO/IEC 27037, 27041, 27042 y 27043 se ha verificado a través de las páginas descriptivas de cada estándar y de fuentes especializadas en peritaje informático español que las citan como referencia técnica del sector, consultadas en agosto de 2026; no son normas de acceso público gratuito en su texto completo, así que la descripción de qué cubre cada una se basa en sus resúmenes oficiales y en la práctica documentada del sector, no en el texto íntegro del estándar. El marco legal español (Ley de Enjuiciamiento Criminal, artículos 588 bis y siguientes tras la reforma de la Ley Orgánica 13/2015, y artículo 340 de la Ley de Enjuiciamiento Civil) se ha verificado a través de fuentes especializadas en peritaje informático (peritoinformaticocolegiado.es, addpol.org) y de bases de datos jurídicas que reproducen el texto de los artículos citados, consultadas en agosto de 2026. La definición de cadena de custodia atribuida al Tribunal Supremo procede de las mismas fuentes especializadas en peritaje, que la citan de forma reiterada al referirse a la jurisprudencia del alto tribunal sobre la materia.
El dato de retención por defecto de AWS CloudTrail (90 días de eventos de gestión, sin coste) sale de la documentación oficial de AWS. El número de módulos y el temario del curso de DFIR de esta web, y el número de certificaciones del mapa de certificaciones, se han comprobado en las páginas correspondientes en agosto de 2026. La descripción de herramientas (Autopsy, FTK, EnCase, X-Ways, Cellebrite, Magnet AXIOM, Wireshark, Volatility, Plaso) recoge práctica extendida y documentada del sector forense digital, sin una única fuente numérica que citar caso por caso para cada una.
Preguntas frecuentes sobre análisis forense digital
¿Necesito ser perito colegiado para hacer análisis forense en una empresa?
No. La colegiación y la inscripción en listas de peritos solo hacen falta si el trabajo va a presentarse como prueba en un procedimiento judicial. El análisis forense interno de una empresa, sin ese destino, no exige ningún título ni colegiación por ley, aunque conviene mantener el mismo rigor metodológico por si el caso acaba escalando.
¿Qué titulación universitaria hace falta para dedicarse a esto?
Ninguna concreta por ley, según el propio artículo 340 de la Ley de Enjuiciamiento Civil, que admite como perito a una persona experta en la materia si no existe un título oficial específico para ella. En la práctica, la mayoría de profesionales del sector vienen de ingeniería informática o de telecomunicaciones, y complementan esa base con certificaciones específicas de forense digital (GCFE, GCFA, CHFI).
¿Cuánto dura una investigación forense completa?
Depende por completo del alcance: el triaje de un solo equipo puede resolverse en horas, mientras que una investigación con varios dispositivos, una línea temporal extensa y un informe pericial formal puede llevar semanas. No hay una duración estándar de referencia, y cualquier cifra concreta dependería del caso.
¿Es lo mismo forense digital que DFIR?
No. Forense digital es la disciplina completa, que incluye el peritaje judicial sin urgencia de por medio; DFIR es su aplicación al contexto concreto de un incidente de seguridad activo, con la respuesta operativa integrada en el mismo trabajo. La página qué es DFIR desarrolla esa diferencia con más detalle.
¿Se puede practicar análisis forense digital de forma gratuita?
Sí. Las imágenes de referencia públicas del NIST (CFReDS), plataformas como CyberDefenders y Blue Team Labs Online, y la distribución SIFT Workstation permiten practicar con evidencia realista sin coste antes de la primera experiencia laboral.
¿Qué diferencia hay entre extracción lógica y física en forense móvil?
La extracción lógica recupera solo lo accesible a través del sistema operativo del dispositivo (contactos, mensajes visibles, fotos), mientras que la extracción física obtiene una copia bit a bit de todo el almacenamiento, incluyendo datos borrados o no visibles desde el sistema operativo. La física es más completa pero también más difícil de conseguir en dispositivos modernos con cifrado fuerte.
¿Vale como prueba judicial una captura de pantalla de WhatsApp?
Por sí sola, tiene un valor probatorio débil, porque una captura de pantalla se puede manipular con facilidad y no lleva asociada ninguna cadena de custodia ni verificación de integridad. Para que tenga fuerza como prueba conviene una extracción forense del dispositivo con su hash correspondiente, o al menos un acta notarial que certifique el contenido en el momento de su captura.
