Qué es un perito informático y cuál es su función

Si te preguntas qué es un perito informático, la respuesta corta es esta: es el especialista que aporta conocimientos técnicos cuando un conflicto depende de información digital. Su cometido no consiste en apoyar sin límites la versión de quien lo contrata, sino en examinar fuentes legítimamente obtenidas, separar hechos de hipótesis y ofrecer una opinión fundada que pueda comprobarse, discutirse y explicarse.

Qué es un perito informático: definición sencilla y definición jurídica

En lenguaje sencillo, un perito informático es un profesional con conocimientos especializados en informática, sistemas y evidencia digital que estudia un hecho para responder preguntas que una persona sin esa formación no podría resolver con seguridad. La pregunta puede ser si un correo procede de un buzón determinado, si una fotografía conserva metadatos coherentes, si un ordenador registró la copia de archivos, si una conversación mostrada en capturas coincide con el dispositivo o si un programa cumple lo que exigía el contrato.

Desde el punto de vista procesal, el artículo 335 de la Ley de Enjuiciamiento Civil prevé el dictamen de peritos cuando son necesarios conocimientos científicos, artísticos, técnicos o prácticos para valorar hechos relevantes o adquirir certeza sobre ellos. La norma también exige que el profesional manifieste que ha actuado y actuará con la mayor objetividad posible, considerando tanto aquello que favorece como aquello que puede perjudicar a cualquiera de las partes.

Esto aclara una idea esencial: el perito no es el abogado tecnológico del cliente. El abogado diseña la estrategia jurídica y defiende los intereses de la parte; el perito responde a cuestiones técnicas con independencia de que el resultado confirme o contradiga la hipótesis inicial. Puede explicar que una evidencia apoya una conclusión, que admite varias interpretaciones o que el material disponible no permite afirmar lo que se pretendía demostrar.

La informática forense aporta procedimientos para identificar, adquirir, preservar, examinar, analizar y presentar datos. NIST relaciona esta disciplina con la aplicación de métodos fiables y repetibles, la cadena de custodia y la posible declaración del experto. Sin embargo, ninguna guía técnica sustituye el análisis jurídico del caso: la legitimidad del acceso, la proporcionalidad y la forma de aportar la prueba deben coordinarse con el abogado.

Qué hace un perito informático

Las funciones cambian según el encargo, pero todas deberían comenzar por una pregunta delimitada. “Analizar un móvil” es demasiado genérico. En cambio, “comprobar si la conversación existente entre dos números coincide con la exportación aportada y documentar sus archivos adjuntos entre dos fechas” permite elegir fuentes, método y alcance. El objeto de la pericia evita búsquedas indiscriminadas y ayuda a controlar costes y privacidad.

• Estudia la documentación, las alegaciones y las preguntas planteadas por cliente y abogado.
• Identifica qué dispositivos, cuentas, copias, servicios o registros pueden contener información relevante.
• Asesora sobre preservación urgente para evitar borrados, sobrescrituras, sincronizaciones o rotación de logs.
• Documenta la recepción, estado, identificadores, custodios y operaciones realizadas sobre la evidencia.
• Realiza adquisiciones o copias controladas cuando el soporte y el objeto del encargo lo permiten.
• Calcula huellas hash para controlar la igualdad binaria de determinados archivos o adquisiciones.
• Examina archivos, bases de datos, metadatos, logs, correos, conversaciones, historiales y configuraciones.
• Construye cronologías y contrasta varias fuentes antes de atribuir significado a un evento.
• Diferencia datos originales, información interpretada por herramientas y material preparado para el informe.
• Declara limitaciones derivadas de cifrado, falta de acceso, calidad, ausencia del original o uso posterior.
• Redacta un informe que conecta cada conclusión con las operaciones y evidencias que la sustentan.
• Explica y ratifica el dictamen, respondiendo preguntas y objeciones sobre método, premisas y resultados.

El resultado no siempre es un informe afirmativo. Puede concluir que una captura no permite identificar su origen, que un hash solo prueba identidad entre copias, que una dirección IP no atribuye por sí sola una acción a una persona o que no se localizaron datos suficientes. Una conclusión negativa o limitada también puede ser útil: evita sostener una reclamación técnicamente débil y ayuda al abogado a buscar otras fuentes.

Qué no hace un perito informático

Tampoco debería limitarse a imprimir la pantalla de una herramienta. Los programas forenses ayudan a adquirir, decodificar y ordenar información, pero pueden omitir campos, interpretar mal formatos nuevos o mostrar una hora convertida. El profesional debe comprender las fuentes, validar los hallazgos relevantes y explicar qué parte procede del dato y qué parte es una interpretación.

Perito informático, técnico, auditor y experto en ciberseguridad: diferencias

Las funciones pueden colaborar. Tras un ransomware, el equipo de respuesta contiene el incidente y recupera sistemas, mientras el perito preserva fuentes y reconstruye hechos relevantes. En un desarrollo de software, un auditor puede detectar problemas de calidad y el perito comparar los entregables con el contrato para un litigio. En una publicación web, un testigo online puede certificar que el contenido estaba visible; si se discute su origen, manipulación o contexto, puede ser necesaria una pericial más amplia.

Perito de parte y perito designado judicialmente

Un perito de parte es seleccionado y contratado por una de las partes para estudiar el asunto y elaborar un dictamen. Que lo contrate una parte no elimina su deber de objetividad. Debe valorar los datos que apoyan y los que contradicen la hipótesis, explicar limitaciones y negarse a afirmar aquello que el material no permite sostener.

El perito designado por el tribunal se nombra por el procedimiento procesal correspondiente. El origen del nombramiento cambia, pero la necesidad de competencia técnica, transparencia metodológica y objetividad permanece. En ambos casos, el dictamen puede ser cuestionado por la otra parte mediante preguntas, impugnaciones técnicas o una contrapericial.

La Ley de Enjuiciamiento Civil contempla que los dictámenes de los que dispongan las partes se aporten con demanda o contestación, con las excepciones previstas, y regula la intervención del perito en la vista. El artículo 347 permite solicitar explicaciones, respuestas a preguntas y objeciones sobre método, premisas y conclusiones. Por eso conviene contratar al profesional con tiempo suficiente para preservar evidencia y coordinar plazos con el abogado.

Qué conocimientos debe tener

No existe una única herramienta ni una sola formación que cubra todos los encargos. El análisis de un iPhone cifrado, una base de datos empresarial, un correo electrónico, una grabación o un repositorio de código exige especialidades diferentes. Un buen profesional reconoce cuándo necesita limitar el alcance o colaborar con especialistas en acústica, imagen, redes, programación, bases de datos, contabilidad o reconstrucción.

• Sistemas operativos, sistemas de archivos y almacenamiento.
• Dispositivos móviles Android e iOS y sus mecanismos de seguridad.
• Redes, servidores, nubes, autenticación y registros de actividad.
• Correo electrónico, cabeceras, dominios y protocolos relacionados.
• Bases de datos, ERP, CRM, CMS, aplicaciones web y repositorios de código.
• Metadatos de documentos, fotografías, vídeos, audios y archivos comprimidos.
• Procedimientos de adquisición, preservación, validación y análisis forense.
• Cadena de custodia, hashes, control de versiones y reproducibilidad.
• Redacción técnica comprensible y exposición oral ante personas no especialistas.
• Principios procesales, privacidad, minimización y límites del encargo.

La competencia no se mide solo por certificados o por la cantidad de software disponible. Conviene valorar experiencia en asuntos comparables, claridad del presupuesto, método propuesto, política de conservación, capacidad de explicar límites y experiencia en ratificación. También es importante saber quién realizará efectivamente el análisis y quién firmará el informe.

Cómo trabaja: proceso de una pericial informática

Qué evidencias digitales puede analizar

Cadena de custodia y hashes explicados sin tecnicismos innecesarios

La cadena de custodia es el registro que permite reconstruir quién encontró, entregó, recibió, almacenó y examinó una evidencia, cuándo ocurrió cada operación y en qué condiciones. No convierte automáticamente un archivo en verdadero, pero ayuda a demostrar que el material analizado es el mismo que se recibió y que su tratamiento ha sido controlado.

INCIBE, al resumir directrices de recopilación de evidencias, destaca la necesidad de documentar dónde, cuándo y quién descubrió, recogió, manejó y custodió la evidencia, así como los intercambios de custodia. En la práctica, el informe debe vincular esas anotaciones con identificadores concretos: número de serie, IMEI, nombre del archivo, tamaño, ruta, fecha de recepción o huella digital.

Un hash es una huella matemática calculada sobre datos. Si dos archivos producen la misma huella con un algoritmo adecuado, permite controlar que son binariamente iguales. Sin embargo, no demuestra que el contenido sea verdadero, quién lo creó o si lo que representa ocurrió. Para esas cuestiones se estudian procedencia, estructura, metadatos, contexto y fuentes relacionadas.

Cuándo conviene contratar un perito informático

Conviene realizar una consulta cuando la respuesta a un conflicto depende de información electrónica o cuando una prueba digital puede ser impugnada. No es necesario esperar a que exista demanda: en muchos casos el momento decisivo es anterior, cuando todavía pueden conservarse el dispositivo, los logs, la cuenta o la página web.

Las señales de urgencia son claras: un móvil puede ser borrado remotamente, una cuenta va a cerrarse, el ordenador se reasignará, los registros se eliminan por rotación, una publicación puede desaparecer o el proveedor solo conserva datos durante un periodo limitado. En esas situaciones, preservar puede ser más importante que comenzar inmediatamente un análisis exhaustivo.

Ejemplos de peritaje informático

Los ejemplos siguientes son escenarios ilustrativos y anonimizados. Explican la lógica del trabajo, no prometen que todos los asuntos ofrezcan el mismo resultado.

Qué debe incluir un informe pericial informático

Un buen informe no es una colección de capturas ni una exportación automática de cientos de páginas. Debe permitir que otra persona comprenda el camino desde la fuente hasta la conclusión y sepa qué operaciones podrían revisarse. El nivel de detalle se adapta al caso, pero normalmente incluye:

• Identificación del profesional, encargo, partes y cuestiones técnicas.
• Antecedentes necesarios, diferenciando lo manifestado de lo comprobado.
• Inventario del material recibido y estado de cada evidencia.
• Cadena de custodia, identificadores y condiciones de almacenamiento.
• Metodología, herramientas, versiones, parámetros e incidencias relevantes.
• Descripción de las adquisiciones, copias y hashes cuando corresponda.
• Resultados organizados por pregunta, fuente o cronología.
• Anexos con capturas, tablas o archivos identificados y referenciados.
• Limitaciones técnicas, ausencia de datos, cifrado, conversiones y dudas.
• Conclusiones claras, proporcionadas y separadas de la valoración jurídica.
• Manifestación de objetividad exigida por la normativa procesal aplicable.

El lenguaje debe ser preciso sin ser innecesariamente oscuro. Expresiones como “el sistema registró”, “se localizó en la fuente examinada”, “es compatible con” o “no permite determinar” suelen describir mejor el alcance que afirmaciones absolutas. Cuando existe una hipótesis alternativa razonable, se analiza o se explica por qué queda fuera del material disponible.

Cómo se ratifica el informe en juicio

La ratificación no consiste únicamente en confirmar la firma. El perito puede tener que exponer el método, aclarar términos, responder preguntas de los abogados, explicar objeciones, revisar una propuesta de rectificación o contrastar su opinión con otro dictamen. El tribunal también puede formular preguntas para comprender y valorar la prueba.

La preparación comienza durante el análisis: fuentes identificadas, notas claras, anexos trazables y conclusiones conectadas con evidencias. Un informe que oculta límites es difícil de defender. En cambio, reconocer una limitación y explicar su efecto demuestra rigor. La exposición debe traducir conceptos técnicos sin deformarlos y responder exactamente a lo preguntado.

Cuánto cuesta y cuánto tarda una pericial informática

No existe un precio único porque el esfuerzo depende del número de fuentes, volumen, estado, cifrado, aplicaciones, periodo, urgencia, preguntas, documentación y necesidad de ratificación. Certificar una conversación existente y delimitada no equivale a analizar varios equipos, servidores y años de actividad. Un presupuesto serio describe alcance, entregables, exclusiones y condiciones.

El plazo también depende de la disponibilidad de la evidencia y de los tiempos procesales. Puede ser necesario comenzar con una preservación urgente y realizar después el examen. Si faltan credenciales, documentos o datos de un tercero, la fecha final cambia. Conviene comunicar desde el principio cuándo debe aportarse el informe y coordinarlo con demanda, contestación, audiencia o vista.

Para valorar un caso, GlobátiKa Lab puede solicitar una explicación breve, fechas, tipo de dispositivos o cuentas, estado actual, documentación disponible y preguntas del abogado. Llama al 900 649 252 para plantear el alcance sin enviar inicialmente información sensible innecesaria.

Qué hacer antes de entregar una evidencia

• No borres archivos, mensajes, aplicaciones, cuentas ni historiales.
• No restaures ni formatees el dispositivo.
• No instales programas de recuperación o limpieza.
• No reenvíes repetidamente el archivo original por aplicaciones que lo recompriman.
• Conserva correos completos, adjuntos, URLs y dispositivos relacionados.
• Anota quién tenía el material, cuándo se obtuvo y qué operaciones se realizaron.
• Evita compartir datos íntimos o ajenos que no estén relacionados con el encargo.
• Informa de contraseñas o accesos solo por el canal seguro que indique el laboratorio.
• Comunica si existe borrado remoto, cifrado, gestión empresarial o caducidad de logs.
• Consulta al abogado sobre legitimación, medidas urgentes y forma de aportar la prueba.

Privacidad, proporcionalidad y acceso legítimo

La capacidad técnica para acceder a información no equivale a autorización para hacerlo. El encargo debe partir de una base legítima y limitarse a datos relacionados con el conflicto. En equipos corporativos, cuentas compartidas, dispositivos personales utilizados para trabajar o asuntos familiares pueden coexistir datos de terceras personas y categorías especialmente sensibles.

La minimización mejora la pericial: delimitar periodos, interlocutores, rutas, cuentas o tipos de archivo reduce exposición y facilita la revisión. Cuando sea posible, se utilizan filtros, seudonimización, anexos separados o procedimientos acordados con abogados. Los datos se conservan durante el tiempo necesario y se protegen frente a accesos no autorizados.

Cómo elegir un perito informático

• Pregunta si ha trabajado con el tipo de dispositivo, aplicación o conflicto concreto.
• Comprueba quién hará el análisis y quién firmará y ratificará.
• Solicita un alcance escrito con preguntas, fuentes, exclusiones y entregables.
• Valora si explica límites antes de prometer resultados.
• Pregunta cómo preserva evidencia, documenta cadena de custodia y controla accesos.
• Comprueba si puede coordinarse con tu abogado y respetar los plazos procesales.
• Valora la claridad de sus informes y su capacidad de exposición oral.
• Desconfía de quien garantiza recuperar datos o ganar el procedimiento.

Puedes conocer otros servicios y la experiencia del equipo en PeritosInformaticos.es. Para encargos en Andalucía también está disponible PeritoInformaticoMalaga.com, y para atención y contenidos en catalán puede consultarse PeritoInformatico.cat.

Mitos frecuentes sobre el peritaje informático

Vídeo: cómo salvaguardar una evidencia digital

Una actuación temprana puede conservar información que después sería imposible reconstruir. En este vídeo del canal de GlobátiKa Peritos Informáticos se explican principios de preservación aplicables antes de iniciar una pericial. Las medidas concretas dependen del dispositivo y del caso, por lo que conviene consultar antes de manipular una fuente crítica.

Preguntas frecuentes sobre qué es un perito informático

Fuentes oficiales y referencias públicas