{"id":77817,"date":"2026-04-21T09:00:00","date_gmt":"2026-04-21T09:00:00","guid":{"rendered":"https:\/\/exittechnologies.com\/?p=77817"},"modified":"2026-04-20T20:28:01","modified_gmt":"2026-04-20T20:28:01","slug":"las-brechas-en-la-cadena-de-custodia-se-producen-durante-el-traspaso-no-en-la-trituradora","status":"publish","type":"post","link":"https:\/\/exittechnologies.com\/es\/blog\/seguridad\/las-brechas-en-la-cadena-de-custodia-se-producen-durante-el-traspaso-no-en-la-trituradora\/","title":{"rendered":"La cadena de custodia se rompe en la entrega, no en la trituradora"},"content":{"rendered":"Tiempo de lectura: <\/span> 5<\/span> minutos<\/span><\/span>\n

Son las 22:00 h, \u00bfsabes d\u00f3nde est\u00e1 tu hardware de almacenamiento fuera de servicio? <\/p>\n\n\n\n

\u00bfQu\u00e9 ocurre con los datos de la empresa y de los clientes almacenados en \u00e9l? Los responsables empresariales deben responder a estas preguntas para cumplir con las normas de cumplimiento normativo y evitar una filtraci\u00f3n de datos con consecuencias desastrosas.<\/p>\n\n\n\n

Mucha gente piensa que el desmantelamiento es una simple tarea de transporte en la que vienen a tu empresa y se llevan tu equipo inform\u00e1tico. En realidad, el proceso comienza mucho antes de que nadie se lleve tu equipo, y debes hacer un seguimiento minucioso de qui\u00e9n tiene el control del mismo. <\/p>\n\n\n\n

El riesgo comienza antes de que se produzca el evento destructivo<\/strong><\/h2>\n\n\n\n

Seg\u00fan Directrices del NIST para la desinfecci\u00f3n de soportes de informaci\u00f3n<\/a>, las organizaciones deben utilizar m\u00e9todos de desinfecci\u00f3n homologados para garantizar que no quede ning\u00fan rastro de datos confidenciales en ning\u00fan soporte que salga de su custodia.<\/p>\n\n\n\n

Tambi\u00e9n advierte de que la entrega de soportes de datos puede dar lugar a una divulgaci\u00f3n no autorizada si no se gestiona adecuadamente. Se trata de un problema de control de los soportes de datos desde el momento en que el activo sale de tu muelle.<\/p>\n\n\n\n

El mismo documento del NIST aclara a\u00fan m\u00e1s este aspecto operativo: la eliminaci\u00f3n, la transferencia interna, la transferencia externa, la donaci\u00f3n, la reventa y el reciclaje modifican el panorama del control. Si se pierde la pista de lo que se ha trasladado, cu\u00e1ndo se ha trasladado y en qu\u00e9 estado se encontraba durante el traslado, el proceso de destrucci\u00f3n posterior no aclara la ambig\u00fcedad previa. <\/p>\n\n\n\n

Ni t\u00fa ni tus socios pod\u00e9is considerar el artefacto de destrucci\u00f3n como el hecho probatorio. La carga de la prueba comienza en el momento en que se produce el cambio de custodia.<\/p>\n\n\n\n

Comienza el control<\/strong> \u2192 El Asset sale de tu muelle |  Cambia la custodia<\/strong> \u2192 La carga de la prueba recae en el destinatario |  Evento de destrucci\u00f3n<\/strong> \u2192 Sigue habiendo ambig\u00fcedad en la fase previa<\/p>\n\n\n\n

El evento de destrucci\u00f3n solo revela si controlabas la zona central. El panorama de riesgo se abre en el momento en que el activo se mueve, no en el momento en que gira la pala.<\/p>\n\n\n\n

La documentaci\u00f3n a nivel de cami\u00f3n no constituye una cadena de custodia<\/strong><\/h2>\n\n\n\n

Gran parte de la documentaci\u00f3n relacionada con la gesti\u00f3n del ciclo de vida de los activos de TI (ITAD) parece mejor de lo que es en realidad. Tu documentaci\u00f3n debe ir al meollo de la cuesti\u00f3n. <\/p>\n\n\n\n

Solo elementos log\u00edsticos:<\/strong>
Se trata de documentos \u00fatiles, pero no constituyen una cadena de custodia:\u2022 Un conocimiento de embarque firmado\u2022 Un recuento de pal\u00e9s\u2022 La firma del conductor<\/td>		Cadena de custodia real:<\/strong>
A nivel de activo y a nivel de evento<\/a>. Deber\u00eda indicarte:\u2022 Qu\u00e9 activos se han liberado\u2022 En qu\u00e9 contenedor o pal\u00e9 precintado se transportaron\u2022 Qui\u00e9n los recibi\u00f3 y cu\u00e1ndo se escanearon en el momento de la recepci\u00f3n\u2022 Si ha cambiado el estado de custodia\u2022 Qu\u00e9 art\u00edculos han entrado en el proceso de gesti\u00f3n de excepciones<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

La norma R2 resulta \u00fatil en este contexto porque orienta el debate hacia la trazabilidad. El resumen de SERI sobre la norma R2v3 establece que los dispositivos que contienen datos deben protegerse desde el momento en que entran bajo el control de una instalaci\u00f3n R2 hasta su eliminaci\u00f3n definitiva. Tambi\u00e9n establece que las instalaciones deben realizar un seguimiento y documentar el flujo de equipos, componentes y materiales a lo largo de la cadena de distribuci\u00f3n. Tambi\u00e9n necesitar\u00e1s registros espec\u00edficos de seguimiento y desinfecci\u00f3n de los dispositivos. Esa norma te dice lo mismo que tu equipo de seguridad ya deber\u00eda estar dici\u00e9ndote: si el registro se detiene en el cami\u00f3n, el registro no est\u00e1 completo.<\/p>\n\n\n\n

La diferencia es importante en los proyectos reales. Los pal\u00e9s se vuelven a envolver. Las etiquetas se rompen. Los destinatarios desglosan las cargas mixtas. Un transportista cambia de equipo tras un retraso. El albar\u00e1n indica lo que se supon\u00eda que deb\u00eda transportarse, mientras que el registro de recepci\u00f3n muestra lo que realmente lleg\u00f3. Si no puedes conciliar esos datos r\u00e1pidamente, tu cadena de custodia ya es confusa antes incluso de que gire una sola cuchilla de la trituradora.<\/p>\n\n\n\n

Las insignias de certificaci\u00f3n no solucionan un traspaso mal definido<\/strong><\/h2>\n\n\n\n

Esta es la parte que al sector le gusta disimular con logotipos.<\/p>\n\n\n\n

Las certificaciones tienen valor. Indican que una instalaci\u00f3n se ha sometido a una norma, un proceso y un r\u00e9gimen de auditor\u00eda. Pero un distintivo de certificaci\u00f3n no sustituye a un expediente de custodia que permanece adjunto<\/a> al activo durante todo el proceso.<\/p>\n\n\n\n

i-SIGMA afirma que la destrucci\u00f3n segura de datos no se consigue \u00fanicamente mediante la certificaci\u00f3n, sino que requiere una cadena de custodia transparente y de ciclo cerrado. Las propias directrices de la asociaci\u00f3n sobre la destrucci\u00f3n de informaci\u00f3n tambi\u00e9n detallan lo que los clientes deben poder garantizar:<\/p>\n\n\n\n

1 C\u00f3mo: <\/strong>C\u00f3mo se destruy\u00f3 la informaci\u00f3n<\/p>\n\n\n\n

2. D\u00f3nde: <\/strong>Donde fue destruido<\/p>\n\n\n\n

3 \u00bfQui\u00e9n?: <\/strong>\u00bfQui\u00e9n lo destruy\u00f3?<\/p>\n\n\n\n

4 Cu\u00e1ndo: <\/strong>Cuando fue destruida<\/p>\n\n\n\n

5 Cadena jur\u00eddica: <\/strong>La cadena de custodia legal relacionada con ese suceso<\/p>\n\n\n\n

La certificaci\u00f3n no puede explicar lo que ocurri\u00f3 dentro de tu proyecto si tus controles de traspaso eran deficientes, tu gesti\u00f3n de excepciones era descuidada o tu documentaci\u00f3n de admisi\u00f3n era demasiado general.<\/p>\n\n\n\n

Aqu\u00ed es donde los operadores pueden meterse en problemas. Responden a una pregunta sobre la custodia mostrando una placa. Responden a una pregunta sobre una situaci\u00f3n excepcional mostrando un certificado. Responden a una Una cuesti\u00f3n a nivel de activos con una garant\u00eda a nivel de lote<\/a>. <\/p>\n\n\n\n

Quiz\u00e1 eso sea suficiente para cumplir con los requisitos de contrataci\u00f3n p\u00fablica. Pero no es suficiente para una investigaci\u00f3n de una filtraci\u00f3n, una solicitud de auditor\u00eda o una pregunta del consejo de administraci\u00f3n sobre qu\u00e9 ha ocurrido con un conjunto concreto de discos duros.<\/p>\n\n\n\n

Acepta los puntos d\u00e9biles, aunque sean aburridos <\/strong><\/h2>\n\n\n\n

Al sector le gusta recurrir a un lenguaje dram\u00e1tico sobre la destrucci\u00f3n porque suena muy definitivo. Los verdaderos fallos en la custodia son mucho menos \u00abcinematogr\u00e1ficos\u00bb:<\/p>\n\n\n\n

Captura en serie a partir de una exportaci\u00f3n obsoleta<\/strong>
La captura de n\u00fameros de serie se realiza a partir de una exportaci\u00f3n antigua, en lugar de en el momento del lanzamiento.\u00a0<\/td>		N\u00famero de sello nunca conciliado<\/strong>
El n\u00famero de sello se anota una sola vez y nunca se comprueba en el momento de la admisi\u00f3n.<\/td><\/tr>
Bolso reempaquetado, sin enlace<\/strong>
Se vuelve a embalar un contenedor da\u00f1ado y nadie vincula el nuevo n\u00famero de identificaci\u00f3n del contenedor a la lista de activos original.<\/td>		Registro de excepciones fuera del registro<\/strong>
Un fallo en el borrado se deriva a revisi\u00f3n manual y el registro de excepciones queda fuera del registro principal del proyecto.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Ninguno de esos errores parece grave por s\u00ed solo. Sin embargo, en conjunto, crean precisamente el tipo de ambig\u00fcedad que da lugar a una puesta fuera de servicio rutinaria<\/a> en un l\u00edo en cuanto a las pruebas.<\/p>\n\n\n\n

Las directrices del NIST sobre la verificaci\u00f3n y la validaci\u00f3n de la sanitizaci\u00f3n se centran en esta idea. La verificaci\u00f3n consiste en comprobar que la operaci\u00f3n de sanitizaci\u00f3n se ha completado con \u00e9xito. La validaci\u00f3n consiste en determinar si la sanitizaci\u00f3n ha sido realmente eficaz y aceptable desde el punto de vista de la confidencialidad. Los campos de ejemplo del certificado que figuran en las directrices del NIST tambi\u00e9n son m\u00e1s detallados de lo que sugieren la mayor\u00eda de los res\u00famenes de los proveedores:<\/p>\n\n\n\n

Datos sobre los medios de comunicaci\u00f3n<\/strong><\/td>Detalles sobre la desinfecci\u00f3n<\/strong><\/td>Detalles de la verificaci\u00f3n<\/strong><\/td><\/tr>
Tipo de medio<\/td>M\u00e9todo de desinfecci\u00f3n<\/td>Estado de la verificaci\u00f3n<\/td><\/tr>
N\u00famero de modelo<\/td>T\u00e9cnica de desinfecci\u00f3n<\/td>Identidad de las personas encargadas de la verificaci\u00f3n<\/td><\/tr>
N\u00famero de serie<\/td>Herramientas utilizadas<\/td>Identidad de las personas encargadas de la validaci\u00f3n<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

La estructura oficial del expediente exige una cadena de pruebas, no un PDF bien formateado.<\/p>\n\n\n\n

Cuatro preguntas que ponen de manifiesto un traspaso deficiente<\/strong><\/h2>\n\n\n\n

Antes de mover el primer pal\u00e9, preg\u00fantate:<\/p>\n\n\n\n

1. Trazabilidad a nivel de activo: <\/strong>\u00bfC\u00f3mo se garantiza la trazabilidad a nivel de activo desde su salida hasta su recepci\u00f3n, desinfecci\u00f3n y eliminaci\u00f3n final?<\/p>\n\n\n\n

2. Integridad de los registros ante cambios: <\/strong>\u00bfQu\u00e9 ocurre con el registro cuando se cambia un precinto, se vuelve a embalar un contenedor o un activo pasa a un estado de excepci\u00f3n?<\/p>\n\n\n\n

3. Conservaci\u00f3n de los campos por activo: <\/strong>\u00bfQu\u00e9 campos conservas de cada activo que contiene datos, adem\u00e1s de los que figuran en el certificado final?<\/p>\n\n\n\n

4. Reconciliaci\u00f3n sin reconstrucci\u00f3n: <\/strong>\u00bfQui\u00e9n puede conciliar el registro de salida, el traspaso al transportista, el registro de recepci\u00f3n y el registro de desinfecci\u00f3n sin tener que volver a crear el proyecto desde cero?<\/p>\n\n\n\n

Proceso deficiente<\/strong>\u2013

No responde a esas preguntas de forma clara. -Responde con un lenguaje general sobre el proceso. -Remite a su p\u00e1gina de certificaci\u00f3n. Nada de eso tiene que ver con la pregunta.<\/td>
Proceso s\u00f3lido<\/strong>\u2013

Responde a preguntas relacionadas con el flujo de trabajo. -Muestra c\u00f3mo se gestiona el traspaso de responsabilidades- Describe c\u00f3mo se documentan las excepciones -Explica c\u00f3mo el registro permanece vinculado al activo cuando el proyecto deja de estar en orden.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

La cuesti\u00f3n es si el registro de custodia sobrevive a esa etapa intermedia tan ca\u00f3tica. Es ah\u00ed donde los proyectos dejan de ser te\u00f3ricos y empiezan a pasar por carretillas elevadoras, muelles de carga, esc\u00e1neres y contenedores de excepciones.<\/p>\n\n\n\n

El relevo es la verdadera prueba<\/strong><\/h2>\n\n\n\n

Imagina que acabas de completar la entrega de tu equipo inform\u00e1tico. El cami\u00f3n ya se ha marchado. La sala est\u00e1 vac\u00eda. Alguien de tu equipo quiere creer que el riesgo se ha trasladado fuera de las instalaciones junto con la carga.<\/p>\n\n\n\n

No fue as\u00ed. <\/p>\n\n\n\n

Se centr\u00f3 en la calidad del registro de custodia. Podr\u00edas descubrir una discrepancia, una diferencia en los precintos o una excepci\u00f3n en el registro, lo que pondr\u00eda en riesgo a tu empresa. <\/p>\n\n\n\n

En cuanto te enteres del problema, tendr\u00e1s que identificar los activos afectados, reconstruir la trayectoria de los movimientos, explicar la excepci\u00f3n y demostrar qu\u00e9 ocurri\u00f3 a continuaci\u00f3n. Sin convertir las pr\u00f3ximas dos semanas en un proyecto de arqueolog\u00eda forense.<\/p>\n\n\n\n

Por eso la cadena de custodia se rompe en el traspaso, no en la trituradora. Elige un socio de confianza en el que puedas confiar para llevar a cabo el proyecto, no al que ofrezca el precio m\u00e1s bajo con un equipo de mudanzas y un cami\u00f3n en buen estado.<\/p>","protected":false},"excerpt":{"rendered":"

Reading Time: <\/span> 5<\/span> minutes<\/span><\/span>It\u2019s 10pm, do you know where your decommissioned storage hardware is?  What about the proprietary and customer data stored on it? Business leaders need to answer these questions to meet compliance standards and avoid a disastrous data breach. Lots of people think that a decommission is a straightforward shipping task where people come to your […]<\/p>\n","protected":false},"author":9,"featured_media":77818,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"episode_type":"","audio_file":"","podmotor_file_id":"","podmotor_episode_id":"","cover_image":"","cover_image_id":"","duration":"","filesize":"","filesize_raw":"","date_recorded":"","explicit":"","block":"","itunes_episode_number":"","itunes_title":"","itunes_season_number":"","itunes_episode_type":"","footnotes":""},"categories":[63],"tags":[],"class_list":["post-77817","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"acf":[],"_links":{"self":[{"href":"https:\/\/exittechnologies.com\/es\/wp-json\/wp\/v2\/posts\/77817","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/exittechnologies.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/exittechnologies.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/exittechnologies.com\/es\/wp-json\/wp\/v2\/users\/9"}],"replies":[{"embeddable":true,"href":"https:\/\/exittechnologies.com\/es\/wp-json\/wp\/v2\/comments?post=77817"}],"version-history":[{"count":0,"href":"https:\/\/exittechnologies.com\/es\/wp-json\/wp\/v2\/posts\/77817\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/exittechnologies.com\/es\/wp-json\/wp\/v2\/media\/77818"}],"wp:attachment":[{"href":"https:\/\/exittechnologies.com\/es\/wp-json\/wp\/v2\/media?parent=77817"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/exittechnologies.com\/es\/wp-json\/wp\/v2\/categories?post=77817"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/exittechnologies.com\/es\/wp-json\/wp\/v2\/tags?post=77817"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}