Bewijs uit een incidentonderzoek, zoals een kopie van een schijf, moet zo worden behandeld dat het later ook in een rechtszaak of bij een aangifte bij de politie kan worden gebruikt. Welke behandeling is het meest passend volgens het idee van de chain of custody (ononderbroken bewijsketen)?

Antwoord: C. De originele schijf kopiëren via een apparaat dat schrijven verhindert, en de hashwaarden vastleggen, evenals wie de schijf wanneer heeft ontvangen en wat hij ermee heeft gedaan

Om bewijs in de rechtszaal en elders betrouwbaar te laten zijn, moet worden aangetoond dat er tussen het verzamelen en het indienen ervan geen manipulatie of verwisseling heeft plaatsgevonden. De originele media worden daarom alleen benaderd via een apparaat dat schrijven verhindert (een write blocker), er wordt een bit-voor-bitkopie gemaakt, en er wordt vastgelegd dat de hashwaarden (zoals SHA-256) van het origineel en de kopie overeenkomen. Onderzocht wordt de kopie; de originele media worden verzegeld en bewaard, en bij elke overdracht worden datum en tijd, de verantwoordelijke en het doel vastgelegd. Een onderbreking in deze registratie is een reden om aan de betrouwbaarheid van het bewijs te twijfelen.