zmiany metadanych w systemie plików), spowoduje to utratę jego wartości dowodowej w postępowaniu sądowym. Należy pamiętać, że każde uruchomienie systemu operacyjnego na komputerze powoduje modyfikacje na jego dysku twardym. Przeprowadzenie na kopii danych szczegółowej analizy zgodnie z zapytaniem zleceniodawcy, z zastosowaniem specjalistycznych urządzeń i programów uniemożliwiających modyfikację wykonanej kopii. Analiza danych musi zostać przeprowadzona rzetelnie i starannie, przy zachowaniu procedur informatyki śledczej oraz łańcucha dowodowego, który ma swój początek w momencie zabezpieczania urządzenia, a kończy się w chwili, gdy biegły obroni swoją opinię na rozprawie sądowej. Opisanie z wysoką starannością całej procedury wykonania i analizy kopii danych z zabezpieczonego urządzenia. Sporządzenie ekspertyzy wraz z pełnym opisem jej przebiegu i wyniku oraz z przedstawieniem raportów analizy nośników danych, ze wskazaniem ujawnionych informacji stanowiących materiał dowodowy. Oznaczenie dat utworzenia, modyfikacji i ostatniego dostępu do danych stanowiących materiał dowodowy, tam gdzie możliwe jest ich odczytanie.