Tiết kiệm chi phí cho quá trình giám định sau này

Giúp việc phục hồi dữ liệu bị xóa diễn ra nhanh chóng hơn

Đảm bảo tính pháp lý và giá trị chứng cứ của dữ liệu điện tử

Ngăn chặn sự can thiệp, chỉnh sửa hoặc xóa dữ liệu từ xa

Chụp ảnh trạng thái của thiết bị và các kết nối dây dẫn

Ngắt các kết nối không dây như Wi‑Fi, Bluetooth

Kiểm tra nhanh các file gần nhất để xác định tội phạm

Cách ly hiện trường và ngăn chặn người không có nhiệm vụ tiếp cận thiết bị

Tránh xa các nguồn có từ trường mạnh

Giữ thiết bị trong môi trường có độ ẩm cao để tránh tĩnh điện

Đảm bảo nhiệt độ môi trường ổn định, không quá nóng

Phải sạc đầy pin cho tất cả các thiết bị ngay tại hiện trường

Mọi tác động lên dữ liệu phải được ghi chép đầy đủ vào biên bản

Ưu tiên thu thập dữ liệu dễ bị mất (volatile data) trước

Có thể dùng USB cá nhân để sao lưu nhanh dữ liệu quan trọng

Chỉ thực hiện sao chép dữ liệu khi có thiết bị chặn ghi (write‑blocker)

Mọi thay đổi đối với chứng cứ số phải được chứng minh là cần thiết

Bảo vệ hiện trường kỹ thuật số chỉ bao gồm việc giữ máy móc

Dữ liệu điện tử rất dễ bị thay đổi hoặc tiêu hủy

Người đầu tiên tiếp cận hiện trường có trách nhiệm bảo vệ nó

Tự ý rút phích cắm điện của máy chủ đang chạy cơ sở dữ liệu

Dùng bút đánh dấu trực tiếp lên bề mặt đĩa CD vật chứng

Để người nhà của nghi phạm đi vào khu vực có máy tính

Sử dụng điện thoại của nghi phạm để gọi về đơn vị báo cáo

Chụp ảnh màn hình đang hiển thị quá trình xóa (nếu kịp)

Chờ phần mềm chạy xong rồi mới kiểm tra

Dùng chuột nhấn nút 'Cancel' trên màn hình

Ngay lập tức rút nguồn điện trực tiếp từ phía sau máy tính (đối với PC)

Phần mềm diệt virus cá nhân để quét máy nghi phạm

Chuẩn bị lệnh khám xét hoặc các văn bản pháp lý liên quan

Mang theo các công cụ ghi chép, máy ảnh, găng tay

Chuẩn bị túi Faraday hoặc vật liệu bọc giấy bạc

Có, nếu nghi phạm đồng ý cho thay đổi

Không bao giờ có ngoại lệ

Có, nếu người thực hiện có trình độ chuyên môn cao và ghi chép lại

Có, nếu việc thay đổi là cần thiết để bảo vệ dữ liệu khỏi bị tiêu hủy

Tăng dung lượng lưu trữ cho dữ liệu điện tử

Xác định ai là người đã tiếp xúc với thiết bị tại mỗi thời điểm

Chứng minh chứng cứ không bị trao đổi hoặc can thiệp từ khi thu giữ đến khi ra tòa

Giảm thời gian lưu kho của thiết bị

Đánh giá các nguy cơ tiềm ẩn gây mất dữ liệu (như bom logic, xóa từ xa)

Xác định số lượng và loại hình các thiết bị kỹ thuật số có mặt

Kiểm tra cấu hình phần cứng của từng máy tính

Xác định chủ sở hữu của từng thiết bị

Không được bật máy lên để kiểm tra

Dán niêm phong lên các cổng kết nối và ổ đĩa

Bật lên để xem cấu hình rồi mới tắt đi

Rút phích cắm điện và các dây cáp kết nối

Sử dụng túi chống tĩnh điện cho các linh kiện rời (RAM, ổ cứng)

Dán nhãn ghi rõ thời gian, địa điểm, người thu giữ

Có chữ ký của người chứng kiến hoặc chủ sở hữu trên niêm phong

Dùng băng keo thông thường quấn kín toàn bộ thiết bị

Ghi chép mọi hành động đã thực hiện đối với thiết bị

Chỉ ghi chép những dữ liệu quan trọng tìm thấy

Chụp ảnh hiện trường trước và sau khi thu giữ

Sử dụng biểu mẫu thống nhất của cơ quan chức năng

An toàn cho thiết bị (tránh rơi vỡ, hư hỏng vật lý)

An toàn cho dữ liệu (tránh bị xóa, bị thay đổi)

Đảm bảo bí mật của cuộc khám xét

An toàn cho cán bộ thực thi nhiệm vụ (chống cháy nổ, điện giật)

Để hoàn thiện hồ sơ vật chứng đầy đủ

Dây sạc có thể chứa bộ nhớ bí mật (ví dụ: dây cáp độc hại)

Để tránh việc nghi phạm sử dụng phụ kiện đó để kết nối thiết bị khác

Để đảm bảo thiết bị có thể được khởi động an toàn tại phòng lab

Giúp tìm kiếm dữ liệu nhanh hơn

Là một bước bắt buộc trong quy trình xử lý dữ liệu điện tử

Dùng để đối chiếu và khẳng định dữ liệu không bị thay đổi sau khi thu giữ

Dùng để nén dữ liệu cho gọn hơn

Kịp thời, chính xác và trung thực

Ghi chép theo trình tự

Phải có đầy đủ chữ ký của các thành phần tham gia

Chỉ cần ghi lại những thiết bị thu giữ được

Trạng thái của thiết bị khi phát hiện (đang chạy, đã tắt, đang sạc)

Mật khẩu truy cập do nghi phạm cung cấp (nếu có)

Số Serial, Model, nhãn hiệu của thiết bị

Tình trạng vật lý của thiết bị (trầy xước, nứt vỡ)

Thể hiện vị trí tương quan giữa các thiết bị và các kết nối mạng

Làm cho hồ sơ trông chuyên nghiệp hơn

Ghi lại vị trí các ổ cắm điện và nguồn cấp

Xác định khoảng cách từ thiết bị đến người sử dụng

Không có ý nghĩa gì đặc biệt

Để biết máy tính đó đã cũ hay mới

Để so sánh với thời gian thực và xác định độ sai lệch

Để phục vụ việc phân tích nhật ký hệ thống (log file) sau này

Mô tả đầy đủ các đặc điểm riêng biệt của vật chứng

Ghi rõ số lượng linh kiện bên trong (ví dụ: số thanh RAM)

Mỗi thiết bị phải được đánh số thứ tự riêng biệt

Chỉ ghi những thiết bị có trị giá trên $$500.000$$ đ

Để cán bộ có thể dùng mạng đó để tải phần mềm giám định

Xác định các nguồn dữ liệu từ bên ngoài có thể truy cập vào máy

Xác định địa chỉ IP và nhà cung cấp dịch vụ Internet

Đánh giá nguy cơ dữ liệu bị tẩu tán qua mạng

Sơ đồ, ảnh chụp hiện trường và vật chứng

Video ghi lại toàn bộ quá trình thực hiện (nếu có)

Danh mục tang vật chi tiết kèm mã Hash (nếu đã trích xuất)

Biên bản khám nghiệm/thu giữ