Cuéntame cómo manejas la evidencia para que aguante después.

Documenta todo y manipula lo mínimo. Anota quién recogió qué, de dónde, a qué hora y con qué herramienta; calcula el hash en la adquisición y verifícalo después de cada traspaso; trabaja solo sobre copias; guarda los originales con acceso restringido y registrado; y anota cada cambio de custodia. Lleva notas contemporáneas con marca de tiempo y usa bloqueo de escritura o una adquisición forense sólida para poder demostrar que no alteraste el origen.

Trabajo asumiendo que cualquier caso puede convertirse en un asunto laboral o en una reclamación al seguro, porque en la primera hora nunca lo sabes. En la adquisición anoto el sistema de origen, la hora en UTC, la herramienta y su versión y quién lo hace, y luego calculo el hash de la imagen inmediatamente y lo apunto en las notas del caso. Trabajo sobre una copia, nunca sobre el original, y vuelvo a verificar el hash tras cualquier traspaso para poder demostrar que no cambió en mis manos. El original va a un almacenamiento restringido donde el acceso queda registrado, y cada vez que se mueve el registro de custodia recibe una línea: quién, cuándo y por qué. Mis notas son contemporáneas, escritas sobre la marcha y con marca de tiempo, y no las arreglo después, porque una narrativa limpia y reescrita vale menos que unas notas desordenadas hechas en tiempo real. Si hay el menor indicio de actividad criminal o de datos regulados, paro y meto a legal antes de tocar nada más.