Me explique como você trata evidência para ela se sustentar depois.

Documente tudo e minimize o manuseio. Registre quem coletou o quê, de onde, em que horário e com qual ferramenta; gere o hash da evidência na aquisição e verifique esse hash depois de cada transferência; trabalhe só em cópias; guarde os originais com acesso restrito e registrado; e registre toda mudança de custódia. Mantenha notas contemporâneas com horário, e use bloqueio de escrita ou aquisição forense adequada para conseguir provar que você não alterou a origem.

Eu trabalho partindo do princípio de que qualquer caso pode virar uma questão trabalhista ou um sinistro de seguro, porque você nunca sabe na primeira hora. Na aquisição eu registro o sistema de origem, o horário em UTC, a ferramenta e a versão, e quem está fazendo, e então gero o hash da imagem na hora e registro esse hash nas notas do caso. Eu trabalho em uma cópia, nunca no original, e verifico o hash de novo depois de qualquer transferência para conseguir mostrar que ele não mudou nas minhas mãos. O original vai para um armazenamento restrito em que o acesso é registrado, e toda vez que ele se move o registro de custódia ganha uma linha: quem, quando, por quê. As minhas notas são contemporâneas, escritas conforme eu avanço e com horário, e eu não as arrumo depois, porque uma narrativa limpa e reescrita vale menos que notas bagunçadas em tempo real. Se há qualquer indício de atividade criminal ou dado regulado, eu paro e chamo o jurídico antes de tocar em qualquer outra coisa.