İmaj almak dışında asla orjinal delile dokunmayın, boylece delili bozma olasılığını en aza indirmiş olursunuz. Orjinal delilin uzerindeki herhangi bir değişiklik, daha sonra alınacak imajlar uzerinde yapılacak incelemelerin sonuclarını da etkileyecektir. Delil toplanıp, birebir kopyası, imajı alınmadan asla delili analiz etmeye calışmayın. Orjinal delil ustunde yapılan tum değişikliklerin hesabını daha sonradan verebilmek icin yapılan tum işlemlerin ve değişikliklerin olabildiğine detaylı bir kaydını tutun. Bazı durumlarda delilin değiştirilmesi kacınılmaz olur. Bu tur durumlarda var olan durumu, kapsamı ve değişiklik sebeplerini belgelendirmek kesinlikle gereklidir. Bilginizi aşmayın. Ne yaptığınızı bilmiyorsanız, delil uzerinde yaptığınız işlemlerden oturu gercekleşecek değişikliklerin ya da yaptığınız işlemlerin doğru bir şekilde hesabını veremeyebilirsiniz. Bu alan bir anda kendinizi kafanız patlamış olarak bulabileceğiniz bir alandır. Bu nedenle araştırmanızı her an size yardın edebilecek biri ile ya da bilgiye kolay erişebilecek bir ortamda yapın. Kurumunuzun kurallarına ve soruşturma rehberlerine uygun hareket edin.
Kuralların ihlali mahkemede delilinizi gecersiz bile kılabilir. Mumkun olan en kısa surede sistemin eksiksiz tam bir imajını alın. Orjinal ve imajı alınmış kopya arasındaki farklar acıklanmalıdır. Yoksa delil bozuk, hasar gormuş olarak yorumlanacaktır. Doğrulamak icin tanıklığa hazır olun. Eğer delillleri siz topladıysanız, delil toplama surecinde urettiğiniz belgelerin doğruluğunu tasdik etmek ve gercekliğini anlatmaya hazır olmalısınız. Bu nedenle her aşamada kayıt tutmak gereklidir. Yaptığınız işlemlerin tekrar edilebilir olmasına dikkat edin. İşlemleriniz ve analizlerinizin tekrarlanabilir olması gerekir. Hareketlerinizin denemeye yanılmaya ya da hatalara dayanmaması gerekmektedir. Hızlı ama doğru calışın. Ozellikle calışan bir sistem uzerinde, ne kadar hızlı calışırsanız o kadar az ucucu delil kaybedersiniz. En ucucu delilleri ilk olarak toplayın. Ucucu delilleri toplamadan sistemi kapatmayın. Ucucu deliller kaybolacaktır ama ek olarak başlangıc ve kapanış betikleri verileri de silebilir. Bilgisayarı normal olarak kapatmak delile zarar verip değiştirebilir, gecici dosya sistemleri ve sistem yapılandırma dosyaları değişebilir. Kapalı bir bilgisayarı acmak da daha fazla potansiyel delili de yok edebilir. Asla şupheli bilgisayarda calışmayın ve o bilgisayara ve ekli donanımlara guvenmeyin. Truva atı programları tahrip edici bir duzeneği başlatabilir. Bilmeden Delili değiştirebilirsiniz.