La informática forense, la recuperación de datos y el descubrimiento electrónico difieren

¿Cuál es la diferencia entre la recuperación de datos, la informática forense y el descubrimiento electrónico?

Los tres campos tratan con datos y, en particular, datos numéricos. Se trata de electrones en forma de ceros y unos. Y se trata de tomar información que puede ser difícil de encontrar y presentarla de manera legible. Pero incluso si hay superposición, los conjuntos de habilidades requieren diferentes herramientas, diferentes especializaciones, diferentes entornos de trabajo y diferentes formas de ver las cosas.

La recuperación de datos generalmente involucra elementos defectuosos, ya sea hardware o software. Cuando una computadora falla y no inicia la copia de seguridad, cuando un disco duro externo, una unidad USB o una tarjeta de memoria se vuelven ilegibles, es posible que se requiera la recuperación de datos. A menudo, un dispositivo digital que necesita recuperar sus datos tendrá daños electrónicos, físicos o una combinación de ambos. Si es así, la reparación del hardware será una parte importante del proceso de recuperación de datos. Esto puede implicar la reparación de los componentes electrónicos de la unidad o incluso el reemplazo de la pila de cabezales de lectura / escritura dentro de la parte sellada de la unidad de disco.

Si el hardware está intacto, la estructura del archivo o la partición puede dañarse. Algunas herramientas de recuperación de datos intentarán reparar la partición o la estructura del archivo, mientras que otras examinarán la estructura del archivo dañada e intentarán extraer los archivos. Las particiones y directorios también se pueden reconstruir manualmente con un editor hexadecimal, pero dado el tamaño de las unidades de disco modernas y la cantidad de datos que contienen, esto tiende a ser poco práctico.

En general, la recuperación de datos es una especie de proceso «macro». El resultado final tiende a ser una gran población de datos guardados sin tanta atención a los archivos individuales. Los trabajos de recuperación de datos suelen ser unidades de disco individuales u otros medios digitales con hardware o software dañado. No existen estándares específicos aceptados por la industria para la recuperación de datos.

El descubrimiento electrónico generalmente involucra hardware y software intactos. Los desafíos del descubrimiento electrónico incluyen la «deduplicación». Se puede buscar un gran volumen de correos electrónicos y documentos existentes o guardados.

Debido a la naturaleza de las computadoras y el correo electrónico, es probable que haya muchos duplicados idénticos («engaños») de varios documentos y correos electrónicos. Las herramientas de EDiscovery están diseñadas para reducir lo que de otro modo podría ser un torrente de datos inmanejable a un tamaño manejable mediante la indexación y eliminación de duplicados, también conocido como deduplicación.

El descubrimiento electrónico a menudo procesa grandes cantidades de datos de material no dañado y los procedimientos se rigen por las Reglas Federales de Procedimiento Civil (“FRCP”).

La informática forense tiene aspectos tanto de descubrimiento electrónico como de recuperación de datos.

En informática forense, el examinador forense (CFE) busca a través de datos existentes y ya existentes o eliminados. Al realizar este tipo de descubrimiento electrónico, un científico forense a veces se ocupa de material dañado, aunque esto es relativamente raro. Se pueden implementar procedimientos de recuperación de datos para recuperar intactos los archivos eliminados. Pero con frecuencia, la CFE se enfrenta a intentos deliberados de ocultar o destruir datos que requieren habilidades distintas de las que se encuentran en la industria de la recuperación de datos.

Cuando se trata de correo electrónico, la CFE a menudo busca espacio no asignado para datos ambientales, datos que ya no existen como archivos legibles por el usuario. Esto puede incluir la búsqueda de palabras o frases específicas («búsquedas de palabras clave») o direcciones de correo electrónico en un espacio no asignado. Esto puede incluir piratear archivos de Outlook para encontrar correos electrónicos eliminados. Esto puede incluir buscar en el caché o en los archivos de registro, o incluso buscar en los archivos del historial de Internet los datos sobrantes. Y, por supuesto, eso a menudo incluye una búsqueda de archivos activos para los mismos datos.

Las prácticas son similares cuando se buscan documentos específicos que respalden un caso o un cargo. Las búsquedas de palabras clave se realizan tanto en documentos activos o visibles como en datos ambientales. La investigación de palabras clave debe diseñarse con cuidado. En tal caso, Schlinger Foundation v Blair Smith, el autor descubrió más de un millón de palabras clave «hits» en dos unidades de disco.

Por último, también se suele llamar al experto en informática forense para que testifique como testigo experto en un testimonio o en un tribunal. Como resultado, los métodos y procedimientos de la CFE se pueden poner bajo un microscopio y se puede llamar al experto para que explique y defienda sus hallazgos y acciones. Un CFE que también es un testigo experto puede tener que defender lo dicho en la corte o en escritos publicados en otros lugares.

Muy a menudo, la recuperación de datos implica una unidad de disco o datos en un sistema. La casa de recuperación de datos tendrá sus propios estándares y procedimientos y trabajará en la reputación, no en la certificación. El descubrimiento electrónico con frecuencia procesa datos de una gran cantidad de sistemas o servidores que pueden contener muchas cuentas de usuario. Los métodos de descubrimiento electrónico se basan en combinaciones probadas de software y hardware, y es mejor planificarlos con mucha anticipación (aunque la falta de planificación anticipada es muy común). La informática forense puede tratar con uno o más sistemas o dispositivos, puede ser bastante fluido en el alcance de las solicitudes y solicitudes realizadas, a menudo se ocupa de los datos faltantes y debe ser defendible, y defendido, en los tribunales.

EZ