Veriga skrbništva (chain of custody)

Dokaz ima dokazno vrednost le, če je mogoče pokazati, da gre za isti predmet in da ni bil spremenjen. Zato se vsaka predaja zabeleži: enolična oznaka, opis, datum in ura, kraj, oseba, ki dokaz prevzema, namen prevzema in podpis. Uporabljajo se embalaža in pečati, na katerih je poseg viden, hramba pa je zavarovana in z omejenim dostopom, kar je prav tako zabeleženo.

Pri digitalnih dokazih se veriga skrbništva opira na zgoščene vrednosti: te se izračunajo ob zajemu in znova preverijo po vsakem koraku, s čimer se dokazuje, da se vsebina ni spremenila. Dela se na forenzičnih kopijah, izvirnik pa ostane nedotaknjen. Zabeležiti je treba uporabljena orodja in njihove različice, vir časa in časovni pas. Pri hlapljivih podatkih, kot so vsebina delovnega pomnilnika in odprte povezave, je treba dokumentirati vrstni red zajema in razloge zanj, saj že sam zajem spremeni stanje sistema.

Prekinitev verige ne pomeni samodejno, da je dokaz nedopusten, oslabi pa njegovo prepričljivost in odpre očitke o možnem poseganju v vsebino. Zato v notranjih preiskavah velja enaka disciplina kot v kazenskem postopku: notranje zadeve se pogosto pozneje nadaljujejo kot kazenska ovadba, delovni spor ali odškodninski zahtevek, takrat pa je za popravek načina ravnanja z dokazi prepozno.

Postopke usmerjajo mednarodni standardi, med njimi ISO/IEC 27037 za prepoznavanje, zbiranje, zajem in ohranjanje digitalnih dokazov ter z njim povezani standardi za preiskovalni proces in analizo. Merilo ustreznosti dokumentacije je preprosto: neodvisen strokovnjak mora biti sposoben ponoviti korake in priti do enakega rezultata.