मुझे बताइए कि आप सबूत ऐसे कैसे संभालते हैं कि वह बाद में टिके।

सब कुछ दर्ज करें और छूना कम से कम रखें। लिखें कि किसने क्या, कहां से, किस समय और किस tool से जुटाया; acquisition पर सबूत का hash लें और हर transfer के बाद उस hash की पुष्टि करें; काम सिर्फ copy पर करें; असली चीजें सीमित और log होने वाले access के साथ रखें; और custody के हर बदलाव को दर्ज करें। साथ के साथ timestamp वाले नोट्स रखें, और write blocking या forensically sound acquisition इस्तेमाल करें ताकि आप साबित कर सकें कि आपने स्रोत बदला नहीं।

मैं इस मान्यता पर काम करता हूं कि कोई भी केस रोजगार का मामला या बीमा दावा बन सकता है, क्योंकि पहले घंटे में आपको कभी पता नहीं होता। acquisition पर मैं source सिस्टम, UTC में समय, tool और उसका version, और यह कि कौन कर रहा है, दर्ज करता हूं, फिर तुरंत image का hash लेकर उसे case notes में लिख देता हूं। मैं copy पर काम करता हूं, असली पर कभी नहीं, और किसी भी transfer के बाद hash दोबारा जांचता हूं ताकि मैं दिखा सकूं कि मेरे हाथ में वह बदला नहीं। असली चीज सीमित भंडारण में जाती है जहां access log होता है, और हर बार उसके हिलने पर custody log में एक लाइन जुड़ती है: कौन, कब, क्यों। मेरे नोट्स साथ के साथ लिखे और timestamp वाले होते हैं, और मैं बाद में उन्हें सुथरा नहीं करता, क्योंकि साफ सुथरा दोबारा लिखा गया ब्योरा गंदे पर असली वक्त के नोट्स से कम कीमती है। अगर आपराधिक गतिविधि या regulated डेटा का जरा भी संकेत हो, तो मैं रुक जाता हूं और कुछ भी और छूने से पहले legal को लाता हूं।