La retención y la transferencia de conocimiento siguen siendo uno de los grandes retos pendientes en el sector de la informática forense y la respuesta a incidentes (DF/IR). Un profesional veterano del ámbito describe cómo, a lo largo de más de dos décadas de carrera, ha constatado una y otra vez la misma carencia: el saber adquirido por analistas experimentados rara vez se documenta, se comparte ni se incorpora a los procesos operativos del equipo.
El relato arranca con su primera formación formal en 1999, un curso introductorio de EnCase 3.0 impartido por Guidance Software centrado en el manejo de la herramienta, sin explicar los motivos detrás de cada acción ni las investigaciones subyacentes. Tras incorporarse como consultor a ISS en 2006, recibió equipamiento y software con la expectativa de empezar a trabajar de inmediato, sin un repositorio interno de consejos ni de lecciones aprendidas. Esa ausencia de procedimientos compartidos se repitió después en el equipo X-Force ERS de IBM tras la compra de ISS, donde junto con Chris Pogue y otros colegas desarrolló condition files, plantillas de informe y scripts —incluido uno para reconocer todas las marcas de tarjetas de crédito válidas, ya que la función isValidCreditCard() de EnCase no admitía JCB ni Discover— precisamente para estandarizar y automatizar las investigaciones PCI. Su conclusión es clara: el sector suele quedarse en el conocimiento individual, rara vez lo eleva a conocimiento tribal o corporativo y casi nunca lo operacionaliza para mejorar futuras detecciones e investigaciones, una realidad tan vigente hoy como hace quince años.