Expediente IA: la sala de servidores

Lo que vas a practicar

• Identificar indicios físicos y digitales en un lugar de intervención y decidir cómo procesarlos.
• Cruzar varias fuentes de datos para reconstruir una línea de tiempo.
• Evaluar los resultados de un modelo de visión por computadora: aciertos, errores y omisiones.
• Distinguir entre lo que los datos muestran y lo que todavía hay que demostrar.

Cómo participar

El ponente comparte la pantalla del expediente. Ustedes no necesitan abrir nada más: todas las respuestas van en el chat de Teams. Escriban con este formato para que sea fácil leerlas en voz alta:

Reglas del equipo pericial

• Antes de concluir, pregúntate: ¿qué evidencia lo respalda?
• Si alguien ya mencionó un indicio, aporta algo nuevo: cómo lo procesarías o qué riesgo ves.
• No hay respuestas tontas. Un error razonado sirve más que un acierto por suerte.

1Inspección del lugar de intervención

Recorrerán la sala tal como se encontró a las 07:40 h, en primera persona, como en un videojuego: el ponente se mueve con linterna por donde ustedes le indiquen en el chat («avanza», «gira a la derecha», «acércate al escritorio»). Debajo verán el croquis visto desde arriba, con la posición del recorrido, la escala y la orientación.

Qué observar

• Accesos: ¿cómo se entra a la sala? ¿Hay señales de que se forzó algo, o de que no fue necesario?
• Vigilancia: ¿los sistemas de seguridad estaban funcionando?
• Equipos y dispositivos: ¿hay algo conectado, encendido o abierto que no debería estarlo?
• Documentos: ¿hay papeles, notas o impresiones con información sensible?
• Objetos personales: ¿hay algo que pudiera conservar rastros de una persona?

Para cada indicio, piensa

1. ¿Es un indicio físico, digital o ambos?
2. ¿Qué se debe hacer primero: fijarlo, aislarlo, preservarlo o capturarlo antes de que se pierda?
3. ¿Qué podría revelar en el laboratorio?

2La noche del 14 de noviembre

Cada fuente aparece como una franja horizontal en una línea de tiempo de 21:30 a 23:45 h. Cada punto es un evento; el ponente puede abrirlo para leer el registro completo.

Las cuatro fuentes

• Control de accesos: entradas y salidas con tarjeta.
• Cámaras CCTV: estado de la señal de video.
• Servidor: inicios de sesión, dispositivos conectados y copias de archivos.
• Red: tráfico de datos hacia el exterior.

Cómo leer una línea de tiempo

• Busca coincidencias: eventos de distintas fuentes que ocurren con pocos minutos de diferencia.
• Busca huecos: periodos en los que una fuente deja de registrar.
• Pregunta siempre: ¿el registro identifica a una persona o solo a un dispositivo o credencial?

3La IA revisa las fotografías

Un modelo de detección de objetos analizó una fotografía del lugar. Dibujó recuadros sobre lo que reconoció y asignó a cada uno un porcentaje de confianza. Ustedes votan, detección por detección, si es correcta o un error.

Al evaluar cada detección

• Mira el objeto dentro del recuadro, no solo la etiqueta.
• Una confianza alta no garantiza que la detección sea correcta.
• Pregúntate también: ¿hay algo en la fotografía que el modelo no marcó?

Fuentes de datos

Descarga los registros completos de la noche del 14 al 15 de noviembre para analizarlos por tu cuenta en Excel, Power BI, Python o la herramienta que prefieras. Incluyen la actividad normal del edificio, así que tendrás que filtrar para encontrar lo relevante.

Ideas para tu análisis

• Ordena cada fuente por fecha y hora, y filtra la ventana de 22:30 a 23:30 h.
• Cruza la columna tarjeta de Accesos con el catálogo de Tarjetas. ¿A quién está asignada cada una? ¿Todas se usaron en puertas autorizadas y en horarios normales?
• Busca huecos: ¿en qué momento deja de registrar alguna fuente y qué ocurre en las demás mientras tanto?
• Compara el tamaño de los archivos copiados con el tráfico de red. ¿Los datos salieron por internet o de otra forma?
• En las detecciones, ordena por confianza. ¿Las detecciones con más confianza son las más confiables?

Glosario

Indicio

Todo objeto, rastro o registro relacionado con un hecho que puede aportar información a la investigación.

Cadena de custodia

Registro de quién, cuándo y cómo manejó un indicio desde que se localiza hasta que se presenta, para garantizar que no fue alterado.

Fijación

Documentar el indicio en su posición original con fotografía, descripción escrita y croquis antes de moverlo.

Evidencia volátil

Información digital que se pierde al apagar un equipo, como la memoria RAM, los procesos y las conexiones activas.

Copia forense

Copia exacta, bit a bit, de un dispositivo de almacenamiento. Se analiza la copia para no alterar el original.

Bloqueador de escritura

Dispositivo que permite leer un medio de almacenamiento sin modificar su contenido.

Metadatos

Datos sobre los datos: fecha, hora, autor, ubicación o dispositivo que generó un archivo.

Correlación

Relación entre eventos que ocurren juntos. No demuestra por sí sola que uno cause el otro.

Ingeniería social

Manipulación de personas para obtener accesos o información, por ejemplo, contraseñas a la vista o credenciales prestadas.

Visión por computadora

Área de la IA que permite a un sistema reconocer objetos, personas o texto en imágenes y video.

Confianza del modelo

Porcentaje que estima qué tan seguro está el modelo de su resultado. No es una probabilidad de que sea verdad.

Falso positivo

El modelo detecta algo que no está; por ejemplo, confunde un objeto común con uno peligroso.

Falso negativo

El modelo no detecta algo que sí está en la imagen.

Precisión

De todo lo que el modelo marcó, qué porcentaje era correcto.

Exhaustividad

De todo lo que había en la imagen, qué porcentaje logró encontrar el modelo.

Hoja de trabajo

Si quieres llevar tu propio registro durante la sesión, copia esta tabla en tu cuaderno o en un documento.

Registro de indicios · Acto 1

Línea de tiempo · Acto 2

Evaluación del modelo · Acto 3

Reflexión final

Al terminar los tres actos, el grupo discutirá estas preguntas:

1. ¿Qué indicio fue más importante para entender el caso y por qué?
2. ¿Qué diferencia hay entre saber qué credencial se usó y saber quién la usó?
3. Si una IA señala un objeto o a una persona con 70 % de confianza, ¿qué debe hacer el perito antes de incluirlo en un dictamen?
4. ¿Quién debe firmar el dictamen: el sistema que procesa las evidencias o el perito que las interpreta?