Telefon je na většině moderních míst nejvýmluvnějším předmětem a zároveň předmětem, který lze nejsnáze zničit manipulací. Téměř každou chybu, ke které u něj dojde, udělá někdo, kdo se snaží pomoci.
Zaznamenejte jeho stav tak, jak jste ho nalezli, dříve než cokoli jiného. Je zapnutý, nebo vypnutý. Zamčený, nebo odemčený. Co je na obrazovce. Stav baterie. Zda je připojený. Zda je v síti. Tyto skutečnosti přestávají být zjistitelné v okamžiku, kdy se ho kdokoli dotkne.
Neprohlížejte ho. Otevření zprávy označí zprávu jako přečtenou, přesune ji a změní časová razítka, která by jinak znalec využil. Fotografie obrazovky, po které jste přejeli prstem, je fotografií důkazního materiálu, který jste pozměnili — a budete dotázáni pod přísahou, na co dalšího jste se dívali.
Nezapínejte ho, abyste „něco zkontrolovali“. Spuštění zařízení může aktivovat naplánované úlohy, synchronizaci a provést vzdálený příkaz.
Izolujte ho od sítě. Zařízení, které zůstane připojené, lze na dálku vymazat, zatímco leží v sáčku s důkazním materiálem. Režim letadlo, pokud je zařízení již odemčené a pravidla to dovolují, nebo stínicí sáček; zaznamenejte, co bylo provedeno, a kdy.
Udržujte ho napájený tak, jak byl napájen. Při vypnutí se ztrácí volatilní paměť a zařízení, kterému dojde energie, se může při příštím spuštění znovu zašifrovat. Baterie a kabel vezměte s ním.
Přístupové kódy se nezkoušejí hádat. U mnoha zařízení se pokusy započítávají do automatického vymazání. Pokud někdo kód nabídne, zaznamenejte, kdo ho poskytl a kdy.
Zdroj. UNODC, Crime scene and physical evidence awareness for non-forensic personnel, https://www.unodc.org/documents/scientific/Crime_scene_awareness__Ebook.pdf ; NIST Organization of Scientific Area Committees for Forensic Science, https://www.nist.gov/osac
Co toto není. Forenzní zkoumání, které provádějí kvalifikovaní znalci na bitových kopiích pomocí nástrojů, jež ponechávají originál nezměněný. Tato stránka se týká prvních deseti minut, než je cokoli z toho možné.