Określ pytania i okres badania

Opisz zdarzenie i wskaż daty, których dotyczy sprawa. Podaj konkretne pytania, na przykład o treść rozmowy, wersję pliku lub kolejność aktywności. Oddziel to, co zaobserwowałeś, od przypuszczeń. Nie musisz samodzielnie ustalać przyczyny technicznej — opis problemu służy określeniu zakresu badania.

Sporządź spis materiału

Wymień urządzenia, nośniki, pliki i kopie danych. Przy każdym elemencie podaj źródło, znany stan oraz informację, czy był używany lub przetwarzany po zdarzeniu. Zaznacz, czy posiadasz urządzenie źródłowe, czy wyłącznie kopię, wydruk lub zrzut ekranu. Jeśli istnieje kilka wersji pliku, uwzględnij je w spisie.

Opisz pochodzenie plików

Zanotuj, od kogo i w jaki sposób otrzymano pliki. Uwzględnij eksporty, przesyłanie przez komunikator, zmianę formatu i inne znane czynności. Zachowaj otrzymane wersje; adnotacje przygotowuj na osobnych kopiach. Znaczenie dokumentowania pochodzenia i ochrony integralności danych opisuje NIST IR 8387.

Uzgodnij postępowanie z urządzeniem

Stan zasilania, zabezpieczenia i dalsze używanie urządzenia mogą wpływać na dane. Przed próbami naprawy, czyszczenia lub odzyskiwania ustal sposób postępowania dla konkretnego przypadku. Zapisz stan urządzenia i wcześniejsze działania. Zasady badania urządzeń mobilnych omawia NIST SP 800-101; nie jest to instrukcja samodzielnej obsługi każdego telefonu.

Przekaż opis przed wysłaniem danych

Pierwsza wiadomość powinna zawierać pytania, spis materiału i oczekiwany termin. Nie przesyłaj od razu całych akt ani danych poufnych. Sposób transferu plików i przekazania urządzeń ustal indywidualnie. Na podstawie opisu można ocenić zakres dalszej konsultacji.

Źródła techniczne

Publikacje opisujące zasady postępowania z materiałem cyfrowym:

Kontakt w sprawie badania

Czytaj dalej