La práctica de conservar y documentar los metadatos originales (marcas temporales del sistema de archivos, EXIF, encabezados, tiempos MAC, registros del sistema de archivos y la información de artefactos relacionada) durante la adquisición, el análisis, el almacenamiento y la divulgación para que el contexto, la cronología y la procedencia estén disponibles para uso forense y legal.

Principio

Preservar los metadatos como evidencia: adquirir imágenes bit‑a‑bit usando bloqueadores de escritura, evitar herramientas que reescriban los metadatos originales salvo que se documenten, y registrar cualquier transformación para mantener un historial auditable.

Demostración

Una imagen forense captura tablas de asignación de archivos, entradas MFT, datos EXIF en fotografías y encabezados de correo; el perito documenta la herramienta de imagen, el hash y las vistas exportadas, asegurando que las marcas temporales originales y la procedencia se conserven para reconstrucción de la cronología.

Aplicación incorrecta

Usar herramientas de copia de archivos de consumo que normalicen marcas temporales, eliminen EXIF o reescriban metadatos del sistema sin registrar los cambios, destruyendo el contexto temporal y debilitando el valor probatorio.

Consecuencia

La preservación adecuada de metadatos permite reconstrucciones cronológicas precisas, atribución y correlación entre artefactos; la pérdida provoca lagunas que pueden socavar investigaciones y admisibilidad.

Inversión

La eliminación activa o normalización de metadatos (intencional o accidental) que rompe los vínculos entre contenido y contexto, dificultando o imposibilitando la reconstrucción de eventos.

Límite

Se aplica a los metadatos originales capturados durante una adquisición forense y a los registros de cualquier derivado posterior; excluye anotaciones creadas por analistas o metadatos derivados cuando estos estén claramente etiquetados y rastreados como secundarios.

Tensión semántica

Tensión con la privacidad y la divulgación: preservar metadatos puede exponer información sensible y entrar en conflicto con necesidades de redacción; la preservación requiere estrategias para mantener la procedencia mientras se posibilita una divulgación que proteja la privacidad.

Síntesis

La Preservación De Metadatos es la captura disciplinada y la documentación de metadatos originales a lo largo del manejo de evidencia para conservar el contexto, permitir cronologías forenses y sostener el valor legal mientras se registra cualquier transformación permitida.