Hay una frase que el equipo de Duriva ha escuchado demasiadas veces. La dice el abogado. La dice el empresario. La dice el familiar de la víctima. La dicen siempre con la misma mezcla de incredulidad y frustración:
«Pero si la cámara estaba grabando. ¿Cómo que ya no existe el video?»
Y la respuesta es siempre la misma: porque el DVR graba en bucle. Porque el disco se llena. Porque cuando el disco se llena, el sistema no se detiene ni manda un aviso ni prende una alarma. Empieza a grabar encima de lo más viejo. Sobreescribe. Destruye. Automáticamente. Sin permiso. Sin notificación. Sin segunda oportunidad.
Es como una pizarra que alguien borra desde el principio cada vez que se llena para seguir escribiendo. Lo que se borró ya no existe. No se puede recuperar. No hay herramienta forense, no hay software milagroso, no hay nada que traiga de vuelta datos que fueron sobreescritos. Cuando un sector del disco es escrito con datos nuevos, los datos anteriores dejaron de existir físicamente.
Y eso pasa cada 7, 14 o 30 días. Dependiendo del sistema. Dependiendo de la cantidad de cámaras. Dependiendo de la capacidad del disco. Pero pasa. Siempre pasa. Es el funcionamiento normal del sistema. No es un defecto. Es como están diseñados.
Este artículo es una guía de urgencia. No es un artículo para leer con calma un domingo y archivar mentalmente para «cuando lo necesite.» Es un artículo para actuar. Si tiene un video crítico en un DVR o NVR, el tiempo que dedique a leer esto sin actuar en paralelo es tiempo que el DVR está usando para acercarse al momento en que sobreescribe exactamente la grabación que usted necesita.
Abogado que está redactando un oficio para solicitar la preservación de un video: el oficio es necesario, pero el oficio no preserva el video. El oficio tarda. Se redacta, se firma, se envía, se recibe, se acusa, se ejecuta. Ese proceso puede tomar días o semanas. Y el DVR no espera oficios. El DVR graba en loop y sobreescribe en días. Lo que necesita en paralelo al oficio es acción directa de preservación. Siga leyendo.
Empresa que fue víctima de robo, vandalismo o cualquier incidente y tiene cámaras: cada hora que pasa sin preservar el video es una hora menos de margen. Si el incidente fue hace menos de 7 días, probablemente todavía tiene el video. Si fue hace más de 14 días, la probabilidad baja drásticamente. Si fue hace más de 30 días, a menos que tenga un sistema con disco de gran capacidad y pocas cámaras, el video probablemente ya no existe.
Director de seguridad corporativa que administra el sistema de videovigilancia: este artículo contiene el protocolo que usted debería tener documentado y que probablemente no tiene. El día que un incidente requiera presentar video en un procedimiento legal — y ese día va a llegar — la diferencia entre saber cómo preservar y no saberlo va a definir si la empresa tiene prueba o tiene un disco sobreescrito.
Familiar de víctima que necesita el video de una cámara que no es suya — la del negocio de enfrente, la del estacionamiento, la del C5: este artículo es especialmente para usted. Porque usted no controla ese sistema. No puede entrar al DVR del vecino y extraer el video. Depende de que alguien más lo haga. Y si ese alguien más no sabe que el DVR sobreescribe, o no le da la importancia que tiene, el video va a desaparecer mientras usted espera.
DVR, NVR y cámaras IP: las diferencias que importan
Antes de hablar de extracción, hay que entender qué tipo de sistema tiene. Porque la estrategia de preservación y extracción varía según el tipo de equipo.
DVR (Digital Video Recorder)
El DVR es el sistema clásico de videovigilancia. Recibe video de cámaras analógicas a través de cables coaxiales (BNC). Las cámaras analógicas transmiten la señal de video al DVR, y el DVR se encarga de digitalizar, comprimir y almacenar la grabación en su disco duro interno.
El DVR es un dispositivo cerrado. Tiene su propio procesador, su propio sistema operativo (generalmente Linux embebido), su propio disco duro. Todo está dentro de la caja. Las cámaras son «tontas» — solo transmiten la señal de video; no procesan, no comprimen, no almacenan nada.
Implicación forense: toda la grabación está en un solo lugar: el disco duro interno del DVR. Si se preserva el DVR, se preserva toda la evidencia. No hay que buscar en múltiples lugares.
NVR (Network Video Recorder)
El NVR es la evolución del DVR para cámaras IP. En lugar de recibir señal analógica por cable coaxial, recibe video digital a través de la red ethernet (cable de red o WiFi). Las cámaras IP son «inteligentes» — procesan y comprimen el video internamente antes de enviarlo al NVR. El NVR recibe el flujo de video ya comprimido y lo almacena.
Implicación forense: la grabación también está centralizada en el disco del NVR, pero hay una diferencia crítica. Como las cámaras están conectadas por red, pueden seguir enviando datos al NVR mientras el perito está trabajando. Si no se desconectan las cámaras de la red (o del switch PoE que las alimenta), la grabación continúa y la sobreescritura avanza. Además, algunas cámaras IP tienen almacenamiento interno (tarjeta microSD) que puede contener grabaciones que no están en el NVR. Eso abre una segunda fuente de evidencia que muchas veces se ignora.
Cámaras IP con almacenamiento en la nube
Las cámaras más modernas para uso residencial y pequeños negocios — Ring, Nest, Arlo, Wyze, y varias marcas chinas — graban directamente en la nube. No hay DVR. No hay NVR. No hay disco duro local. El video se transmite por internet a los servidores del fabricante y se almacena allí por un periodo determinado (que depende del plan de suscripción: 7 días, 30 días, 60 días).
Implicación forense: la extracción es completamente diferente. No hay disco duro que copiar. El video está en servidores de un tercero, generalmente en otro país. La extracción requiere acceso a la cuenta del usuario (credenciales de acceso al servicio en la nube) o un requerimiento legal al proveedor del servicio. Y los proveedores estadounidenses responden a requerimientos legales de Estados Unidos mucho más rápido que a los de México. El factor tiempo sigue siendo crítico porque las políticas de retención del proveedor determinan cuándo se borran las grabaciones automáticamente.
Sistemas híbridos
Muchas instalaciones modernas combinan componentes: cámaras analógicas en algunas áreas y cámaras IP en otras, conectadas a un DVR híbrido que acepta ambos tipos de señal. O un NVR central complementado con cámaras con almacenamiento local en SD. O cámaras en nube para áreas públicas y un DVR interno para áreas restringidas.
Implicación forense: hay que mapear todo el sistema antes de la extracción. Cada fuente de video puede contener ángulos y periodos diferentes. Y cada fuente tiene su propia ventana de sobreescritura. La cámara en nube puede retener 30 días pero el DVR solo 7. Si solo se preserva uno, se puede perder evidencia crítica del otro.
La grabación en loop: el mecanismo que destruye la evidencia
El concepto de grabación en loop (bucle) es simple pero sus consecuencias son devastadoras para quien no lo entiende a tiempo.
Un disco duro tiene capacidad finita. Un disco de 1 TB tiene un millón de megabytes. Si un sistema de 8 cámaras genera aproximadamente 10 GB de video por día (cifra aproximada que varía según resolución, codec y tasa de cuadros), el disco de 1 TB se llena en aproximadamente 100 días.
Pero los sistemas de videovigilancia no están diseñados para llenarse y detenerse. Están diseñados para grabar indefinidamente. Entonces, cuando el disco llega al 100% de capacidad, el sistema hace lo único que puede hacer: empieza a borrar lo más viejo para hacer espacio para lo más nuevo. Automáticamente. Sin intervención humana.
En la práctica, la mayoría de los DVR de uso comercial en México tienen discos de 1 TB o 2 TB, con 4 a 16 cámaras, grabando en calidad media. El resultado típico:
- 4 cámaras, 1 TB, calidad media: ciclo de sobreescritura de 20-30 días
- 8 cámaras, 1 TB, calidad media: ciclo de 10-15 días
- 16 cámaras, 1 TB, calidad media: ciclo de 5-8 días
- 8 cámaras, 2 TB, calidad alta (H.265): ciclo de 15-20 días
- 16 cámaras, 2 TB, calidad alta: ciclo de 7-12 días
Estas son aproximaciones. El número exacto depende de la configuración específica del sistema. Pero sirven para ilustrar el punto: la ventana de tiempo es corta. Muy corta. Y cuando se cierra, se cierra para siempre.
Los 7 días críticos. Cuando el equipo de Duriva evalúa un caso que involucra video de seguridad, la primera pregunta siempre es: ¿cuántos días han pasado desde el evento? Si la respuesta es menos de 7, hay alta probabilidad de que el video exista en cualquier configuración de sistema. Si la respuesta es entre 7 y 14, depende del sistema. Si la respuesta es más de 14, la urgencia es máxima porque la ventana se está cerrando o ya se cerró.
Siete días. Eso es lo que separa «tenemos el video» de «ya no existe.» Y esos siete días corren desde el momento del evento, no desde el momento en que alguien decide que el video es importante.
Los errores fatales de almacenamiento y preservación
El equipo de Duriva ha documentado un catálogo de errores que han costado casos. No errores técnicos sofisticados. Errores humanos básicos que se repiten una y otra vez porque nadie le explicó al empresario, al encargado, al abogado, cómo funciona el sistema.
Error 1: Apagar el DVR para «preservar» el video
La lógica parece razonable: «si el DVR sigue grabando va a sobreescribir, entonces lo apago para que deje de grabar y el video se quede ahí.»
El problema: apagar un DVR abruptamente puede corromper la base de datos interna del sistema de archivos. El DVR está escribiendo continuamente en el disco. Si se corta la energía mientras está escribiendo, la tabla de asignación de archivos puede quedar en un estado inconsistente. Cuando se vuelve a encender, el DVR puede no encontrar las grabaciones que estaban ahí antes del apagado. No porque se borraron. Sino porque el índice que le dice al sistema dónde están se corrompió.
Es como arrancar páginas del índice de un libro. Los capítulos siguen ahí, pero ya no sabes en qué página está cada uno.
La forma correcta de detener la sobreescritura no es apagar el DVR. Es desconectar las cámaras. Desconectar los cables de video (BNC para analógico, red para IP) de las cámaras. El DVR sigue encendido, el disco sigue accesible, la base de datos no se corrompe. Pero como no recibe video nuevo de las cámaras, no tiene nada que grabar y por lo tanto no sobreescribe.
Error 2: Extraer el disco duro del DVR sin procedimiento
El empresario o el técnico de IT saca el disco duro del DVR y se lo entrega al abogado o al perito. El problema es múltiple:
El DVR puede no arrancar sin su disco y los logs del sistema que documentan la configuración y los eventos se pierden o se vuelven inaccesibles. Si el disco se manipula sin bloqueador de escritura, cualquier acceso puede modificar metadatos del sistema de archivos (fechas de último acceso, por ejemplo), lo cual compromete la integridad forense. Y si el disco se daña físicamente en el transporte (los discos de 3.5 pulgadas son frágiles; un golpe, una caída, puede dañar los cabezales de lectura), la evidencia completa se pierde.
No es que extraer el disco sea prohibido. Es que extraerlo sin procedimiento forense es un riesgo innecesario cuando la alternativa — que el perito acceda al DVR in situ con sus herramientas — es más segura y produce mejores resultados.
Error 3: Confiar en la «exportación» del DVR a USB
La mayoría de los DVR tienen una función de exportar clips de video a una memoria USB. Parece la solución perfecta: seleccionar el periodo, insertar la USB, exportar, listo.
Pero esa función tiene problemas que no son evidentes:
Algunos DVR recodifican el video al exportar, cambiando el formato propietario a un AVI o MP4 genérico que pierde los metadatos incrustados y la estructura propietaria que permite verificar la integridad. El usuario no sabe que el archivo en la USB ya no es idéntico al archivo en el disco.
Otros DVR exportan en formato propietario pero incluyen un «visor» (un mini-reproductor ejecutable) que en algunos modelos modifica la fecha de último acceso de los archivos exportados, alterando metadatos.
Y ningún proceso de exportación vía DVR incluye cálculo de hash ni cadena de custodia. El archivo en la USB no tiene ninguna garantía de integridad documentada. Cualquiera podría haberlo modificado después de la exportación y no hay forma de demostrarlo.
La exportación a USB es preferible a no tener nada. Si la alternativa es que el video se sobreescriba, exportar a USB es un acto de preservación de emergencia válido. Pero no es la extracción forense. Es un parche temporal mientras se coordina la extracción con un perito.
Error 4: No saber que la cámara tiene SD interna
Muchas cámaras IP tienen una ranura para tarjeta microSD que permite grabación local independiente del NVR. En muchas instalaciones, esa tarjeta está puesta y grabando sin que el administrador del sistema lo sepa. O lo sabe pero lo olvida.
Esa tarjeta SD puede contener grabaciones que ya no existen en el NVR porque el NVR sobreescribió, pero la cámara, con su tarjeta de menor capacidad pero también de menor consumo (una sola cámara vs. 8 o 16), puede tener un ciclo de sobreescritura diferente. A veces más corto. A veces más largo.
En un caso de extracción, ignorar la tarjeta SD de las cámaras IP es ignorar una fuente de evidencia que puede ser la única que queda.
Error 5: Formatear el DVR «porque ya se sacó lo que se necesitaba»
Después de exportar un clip a USB, el empresario o el técnico formatea el DVR para «empezar limpio» o para reasignarlo a otro uso. Lo que no sabe es que el clip exportado puede no contener toda la información necesaria. Que el abogado puede necesitar un periodo diferente al que se exportó. Que la contraparte puede cuestionar la autenticidad del clip y el perito necesitaría acceso al DVR original para verificarla.
Formatear el DVR después de extraer un clip es quemar la casa después de sacar una foto del salón. La foto puede no ser suficiente. Y la casa ya no existe.
El caso del C5: cuando la institución no preserva
Hay un caso que vale la pena mencionar porque ilustra una realidad que afecta a miles de procesos legales en México: los videos del C5 (Centro de Comando, Control, Cómputo, Comunicaciones y Contacto Ciudadano).
El C5 opera miles de cámaras de videovigilancia en la Ciudad de México y en varias entidades del país. En teoría, esas cámaras graban todo lo que pasa en las calles, avenidas, cruceros y espacios públicos cubiertos por el sistema. En teoría, cuando ocurre un delito frente a una cámara del C5, el video existe y puede ser solicitado por la fiscalía o por las partes involucradas.
En la práctica, la capacidad de almacenamiento del C5 es finita. Muy finita para la cantidad de cámaras que opera. Los ciclos de sobreescritura de los servidores del C5 son cortos — en algunos casos, de pocos días. Y cuando un abogado solicita un video del C5 a través de la fiscalía, el oficio tiene que recorrer una cadena burocrática que puede tardar semanas o meses.
El resultado es predecible: para cuando el oficio llega al C5, el video ya fue sobreescrito. No existe. No por mala fe. No por conspiración. Sino porque la infraestructura de almacenamiento no da para retener semanas o meses de grabación de miles de cámaras simultáneas.
Esa es la realidad. El presupuesto asignado al almacenamiento de video del C5 no es proporcional a la cantidad de video que genera. Y el proceso burocrático para solicitar un video no es proporcional a la urgencia con que el video se sobreescribe. Es un desfase sistémico que se traduce en evidencia perdida.
Abogado que está por solicitar un video del C5: no tramite un oficio convencional y espere respuesta. Solicite una audiencia de urgencia. Argumente la naturaleza perecedera de la evidencia. Haga todo lo que su marco procesal le permita para acelerar el acceso. Porque cada día que pasa es un día menos de video disponible. Y la frase «el video ya no existe por exceder el periodo de almacenamiento» aparece en más respuestas del C5 de las que alguien quisiera admitir.
Familiar de víctima que necesita el video del C5: no espere a que la fiscalía lo solicite. Presione. Pregunte. Haga seguimiento. Llame. Insista. No por necedad sino por necesidad. Porque el video que necesita está desapareciendo con cada hora que pasa. Y si la fiscalía tarda lo que normalmente tarda, lo que quede del video puede ser nada.
El protocolo de extracción forense: paso a paso
El protocolo que sigue Duriva para la extracción forense de video de DVR y NVR está diseñado para maximizar la preservación de evidencia y minimizar el riesgo de contaminación o pérdida. Cada paso tiene una razón técnica y una razón legal.
Fase 1: Evaluación previa
Antes de tocar el equipo, se recopila toda la información posible sobre el sistema:
Marca y modelo del DVR/NVR. Cada fabricante tiene sus particularidades de formato, estructura de archivos y herramientas de extracción. Hikvision, Dahua, Provision-ISR, Samsung Hanwha, Uniview — cada uno requiere un enfoque adaptado.
Número de cámaras y canales activos. Determina el volumen de datos y la velocidad de sobreescritura.
Capacidad del disco duro. Junto con el número de cámaras y la configuración de calidad, permite estimar la ventana de sobreescritura.
Periodo de interés. ¿Qué fecha y hora necesita el abogado? Eso define qué tan urgente es la extracción: si el periodo de interés está próximo al borde de sobreescritura, la extracción es inmediata. Si tiene margen, se puede planificar.
Tipo de conexión. DVR analógico (cables BNC), NVR IP (cables de red), híbrido, cámaras en nube. La estrategia de extracción y preservación varía según el tipo.
Fase 2: Preservación de emergencia
Si la evaluación previa indica que el video está en riesgo inminente de sobreescritura, se ejecuta una preservación de emergencia antes de la extracción forense formal:
DVR analógico: desconectar los cables BNC de las cámaras en la parte trasera del DVR. El DVR sigue encendido, el disco sigue intacto, pero la grabación se detiene porque no hay señal de entrada.
NVR IP: desconectar el cable de red del NVR o desconectar el switch PoE que alimenta las cámaras. Misma lógica: sin señal de entrada, no hay grabación nueva, no hay sobreescritura.
Cámara IP con SD: retirar la tarjeta microSD de la cámara y resguardarla. La tarjeta contiene la grabación local que puede complementar o sustituir la del NVR.
Sistema en nube: acceder a la cuenta del servicio, verificar qué periodo está disponible, y descargar inmediatamente el video del periodo de interés como medida de preservación temporal mientras se gestiona la extracción formal.
Estas acciones de preservación de emergencia no sustituyen la extracción forense. Son medidas de primeros auxilios para evitar la pérdida del video mientras se coordina el proceso completo.
Fase 3: Documentación del estado del sistema
El perito documenta el estado del DVR/NVR antes de cualquier extracción:
Fotografía del equipo en su ubicación original. Marca, modelo, número de serie. Versión de firmware. Configuración de grabación (resolución, tasa de cuadros, codec, calidad). Número de cámaras conectadas y estado de cada canal. Capacidad del disco y porcentaje de uso. Fecha y hora del sistema (con comparación contra hora real documentada para registrar desfase). Periodo más antiguo disponible en la grabación. Periodo más reciente disponible.
Esta documentación se convierte en parte del dictamen pericial y establece las condiciones del sistema al momento de la extracción.
Fase 4: Extracción forense
Dependiendo del caso y de las condiciones, la extracción se realiza de una de dos formas:
Copia forense bit a bit del disco completo. Se extrae el disco duro del DVR con el equipo apagado de forma controlada (no desconectando la corriente, sino usando la función de apagado del sistema). Se conecta a un bloqueador de escritura forense. Se crea una imagen forense del disco completo usando herramientas como FTK Imager o dd forense. La imagen es una réplica exacta, sector por sector, bit por bit, del disco original. Contiene todo: grabaciones, logs del sistema, configuración, espacio no asignado, todo.
Esta opción se elige cuando se necesita preservar la totalidad de la evidencia, cuando el periodo de interés es amplio, o cuando hay posibilidad de que se necesiten análisis adicionales en el futuro (como verificar si hubo manipulación del video o del sistema).
Extracción selectiva del periodo de interés. Cuando el periodo de interés está claramente definido, es de corta duración y no se anticipa la necesidad de analizar el sistema completo, el perito puede extraer únicamente los archivos de video correspondientes a ese periodo, directamente del DVR, utilizando herramientas forenses que mantienen el formato nativo y los metadatos intactos.
Esta opción es más rápida y produce archivos de menor tamaño, pero no preserva el contexto completo del sistema (logs, configuración, grabaciones adyacentes).
En ambos casos, la extracción se hace con herramientas que no modifican el original. El bloqueador de escritura garantiza que el disco fuente no recibe ni un solo bit de escritura durante el proceso. La extracción selectiva se hace en modo solo lectura. El principio es inviolable: la fuente original no se altera.
Fase 5: Hash y cadena de custodia
Inmediatamente después de la extracción, se calcula el valor hash SHA-256 de la imagen forense o de los archivos extraídos. El hash se documenta en el acta de extracción y en el dictamen pericial.
La cadena de custodia se formaliza: quién extrajo la evidencia, en qué fecha y hora, en qué ubicación, en qué medio de almacenamiento se depositó, a quién se transfiere, en qué condiciones se almacena. Cada eslabón está documentado y firmado.
El hash y la cadena de custodia son lo que convierte un archivo de video en una prueba. Sin ellos, es un archivo. Con ellos, es evidencia forense con los requisitos del artículo 210-A.
Fase 6: Análisis y dictamen
En el laboratorio de Duriva, se analiza el contenido extraído: se verifican los archivos de video del periodo de interés, se analizan los metadatos, se verifica la integridad de la estructura de los archivos, se cruzan los timestamps del video con los logs del sistema, y se documentan los hallazgos relevantes para el caso.
El dictamen pericial se emite con todos los elementos que el 210-A exige: descripción del método, identificación de las herramientas utilizadas, documentación del estado del sistema fuente, análisis de la evidencia, valor hash, cadena de custodia, y conclusiones técnicas fundamentadas.
La pregunta que nadie hace hasta que es demasiado tarde
Hay una pregunta que debería hacerse todo empresario, todo director de seguridad, todo abogado que trabaja con casos donde el video de seguridad puede ser relevante. Una pregunta que casi nadie hace hasta que ya es tarde para que la respuesta sirva de algo:
¿Cuántos días de grabación retiene mi sistema?
No cuántos días «debería» retener según el vendedor que lo instaló. Cuántos días retiene realmente. Hoy. Con la cantidad de cámaras que tiene conectadas. Con la calidad de grabación que tiene configurada. Con el disco duro que tiene instalado.
Porque el vendedor que instaló el sistema pudo haber dicho «graba 30 días.» Pero si después se añadieron cuatro cámaras más, o si se aumentó la resolución de 720p a 1080p, o si se activó la grabación por detección de movimiento 24/7 en lugar de por horario, esos 30 días se convirtieron en 12. O en 8. Y nadie lo notó porque nadie lo verificó.
Verificar es simple. En la interfaz del DVR, en la sección de reproducción o búsqueda, se busca la grabación más antigua disponible. Si hoy es 26 de marzo y la grabación más antigua es del 12 de marzo, el sistema retiene 14 días. Si la más antigua es del 22 de marzo, retiene 4 días. Ese número es la ventana real de preservación. Es el tiempo que tiene para actuar después de un incidente antes de que el video desaparezca.
Director de seguridad: verifique eso hoy. Documéntelo. Comuníquelo al área legal de la empresa. Porque cuando ocurra un incidente y el abogado pregunte «¿tenemos el video?», la respuesta no puede ser «no sé.» Tiene que ser «sí, el sistema retiene X días y el incidente fue hace Y días, así que el video todavía existe y ya tomamos medidas de preservación.»
Preguntas frecuentes
¿Cuánto tiempo tarda una extracción forense de DVR?
La extracción en sitio — la visita del perito al lugar donde está el DVR, la documentación del sistema, la extracción del video — tarda entre 2 y 6 horas dependiendo del tamaño del disco y del periodo a extraer. Si se hace copia forense bit a bit de un disco de 2 TB, puede tomar 4-8 horas de copiado más el tiempo de documentación. El análisis posterior en laboratorio depende de la complejidad del caso.
El DVR está en un negocio que no es mío. ¿Cómo accedo al video?
Si el video es relevante para un proceso legal, el abogado puede solicitar al juez un oficio dirigido al propietario del sistema requiriendo la preservación y entrega del video. En paralelo — porque el oficio tarda y el DVR no espera — se puede hablar directamente con el propietario del negocio, explicar la situación y pedirle que tome medidas de preservación de emergencia (desconectar las cámaras del DVR). Muchos propietarios colaboran voluntariamente cuando se les explica la urgencia y la naturaleza perecedera de la evidencia.
Si el video ya se sobreescribió, ¿hay algo que se pueda hacer?
En la mayoría de los casos, no. La sobreescritura es destructiva: los datos nuevos reemplazan físicamente a los datos antiguos en el disco. Sin embargo, hay excepciones limitadas. Si la sobreescritura fue parcial (solo una parte del periodo de interés fue sobreescrita), la parte que sobrevivió puede ser recuperable. Si el disco tuvo una falla mecánica antes de completar la sobreescritura, los datos pueden estar en un estado intermedio donde la recuperación parcial es posible. Pero estos son escenarios excepcionales, no la regla. La regla es: una vez sobreescrito, perdido para siempre. Por eso la preservación oportuna es tan crítica.
¿Puedo usar como evidencia un video que descargué de la nube (Ring, Nest, etc.)?
Puede usarlo como apoyo, pero sin certificación forense su valor probatorio es limitado. La descarga desde la nube no incluye cadena de custodia, no tiene hash de integridad, y el archivo pudo haber sido modificado entre la descarga y la presentación. Lo ideal es que un perito forense documente el proceso de acceso a la cuenta, verifique la autenticidad del video disponible en la plataforma, realice la extracción con herramientas que preserven los metadatos, y emita un dictamen que cumpla con el 210-A.
¿Qué hago si mi DVR es muy viejo y ya no prende?
Si el DVR no enciende pero el disco duro está físicamente intacto, el perito puede extraer el disco y analizarlo en laboratorio. Los datos de video están en el disco, no en la electrónica del DVR. Incluso si la placa del DVR falló, el disco puede montarse en un entorno forense y los archivos de video pueden extraerse directamente de la estructura del sistema de archivos. El formato puede ser propietario, pero las herramientas forenses pueden interpretar la mayoría de los formatos de los fabricantes principales.
Mi empresa tiene 30 sucursales con DVR. ¿Cómo manejo la preservación cuando hay un incidente?
Esa pregunta debería tener respuesta antes de que haya un incidente, no después. Lo que Duriva recomienda es un protocolo de preservación documentado que conozcan todos los gerentes de sucursal: ante un incidente que pueda requerir video como evidencia, el gerente desconecta las cámaras del DVR (no lo apaga), documenta la fecha y hora de la desconexión, notifica al área legal y al área de seguridad corporativa, y no toca el equipo hasta que el perito o el área de IT central dé instrucciones. Ese protocolo simple, de dos minutos, es la diferencia entre tener evidencia y no tenerla.
Qué hacer ahora mismo si tiene un video crítico en riesgo
Si está leyendo esto porque tiene un incidente grabado en un DVR o NVR y no ha tomado medidas de preservación, este es el momento de actuar. No al terminar el artículo. Ahora.
Paso 1: Determine cuántos días han pasado desde el evento. Si han pasado menos de 7 días, probablemente tiene el video. Si han pasado entre 7 y 14, depende del sistema. Si han pasado más de 14, la urgencia es crítica.
Paso 2: Detenga la sobreescritura. Desconecte las cámaras del DVR (cables BNC o cables de red). No apague el DVR. No lo desconecte de la corriente. Solo las cámaras. Documente la fecha y hora en que lo hizo.
Paso 3: No exporte a USB como solución definitiva. Si necesita una copia de emergencia, expórtelo. Pero no asuma que la USB sustituye la extracción forense. La USB es un parche. La extracción forense es la prueba.
Paso 4: Contacte a un perito forense. Duriva evalúa el caso, determina la viabilidad, y ejecuta la extracción con el protocolo completo. Si el video existe, lo extraemos con rigor forense. Si ya se sobreescribió, se lo decimos de frente — no le vamos a cobrar por extraer algo que ya no existe.
Paso 5: Informe a su abogado. El abogado necesita saber que la evidencia existe (o existía), que se tomaron medidas de preservación, y que el perito está en proceso de extracción. La estrategia procesal se construye alrededor de la evidencia disponible.
El DVR no sabe que está grabando evidencia. No sabe que lo que sus cámaras captaron anoche puede ser la prueba que defina un juicio. No sabe que en su disco duro hay imágenes que valen más que mil testimonios. El DVR solo sabe hacer una cosa: grabar, llenar el disco, sobreescribir, repetir. En loop. Sin fin. Sin distinción entre una grabación trivial y una grabación que puede cambiar vidas.
Esa indiferencia mecánica del sistema es lo que hace que la responsabilidad recaiga enteramente en las personas. En el empresario que sabe que tiene cámaras pero no sabe cuántos días retienen. En el abogado que tramita oficios sin considerar que el video se está borrando mientras el oficio recorre su camino. En el director de seguridad que instaló el sistema pero nunca documentó el protocolo de preservación. En el familiar que asume que «alguien» va a pedir el video a tiempo.
No hay «alguien.» Está usted. Y el reloj está corriendo.
Siete días. Ese es el margen que probablemente tiene. Siete días entre «tenemos todo grabado» y «el video ya no existe.» Siete días entre la prueba más sólida que puede tener y un disco duro lleno de grabaciones nuevas que sobreescribieron exactamente lo que necesitaba.
Actúe dentro de esos siete días y el DVR le entrega la verdad de lo que sus cámaras vieron. Deje pasar esos siete días y el DVR le entrega exactamente lo mismo que le entregaría si nunca hubiera tenido cámaras: nada.