Problem
Forensics pada na procedurze, nie na narzędziu. Bez notatki „kiedy, skąd, kto” dalsza analiza jest ozdobą.
Zakres
- materiał z laboratorium, stacji albo uzgodnionego obrazu
- oś czasu, konta, uruchomienia, sieć — w granicach dostępnych artefaktów
- jawne ograniczenia: czego nie ma, czego nie da się dowieść
Poza zakresem, dopóki nie ustalimy inaczej: zeznania biegłego sądowego, praca na jedynej kopii dowodu, obietnica odzyskania wszystkiego.
Rezultat
Dziennik czynności i wnioski, które da się obronić albo uczciwie oznaczyć jako hipotezę.