È l'uso di metodi scientificamente provati per: conservare, raccogliere, convalidare, identificare, analizzare, interpretare, documentare e presentare dati digitali provenienti da dispositivi informatici.
Ha due scopi principali: ricostruire eventi criminali già accaduti, e contribuire a prevenire azioni non autorizzate future.
Al centro di tutto ci sono le digital evidence (prove digitali): qualsiasi dato digitale che supporti o confuti un'ipotesi di crimine. Possono riguardare omicidio, spionaggio industriale, frodi, riciclaggio, estorsione, narcotici, pedofilia, terrorismo, ecc.
Si rileva, riconosce e determina l'evento o crimine da investigare. Si parte da segnalazioni, denunce, allarmi. Si identificano i dispositivi che potrebbero contenere prove. La pianificazione è fondamentale: strumenti sbagliati o non validati legalmente possono compromettere tutto.
Ruolo del First Responder: è chi arriva per primo sulla scena. Deve:
Il First Responder porta con sé: indumenti protettivi, braccialetti antistatici, etichette, torce, contenitori, evidence bag.
Live system vs Dead system: