Bewaar transactie-exports, uitwisselingsrecords, e-mailcorrespondentie, apparaatlogboeken en chronologische aantekeningen waarin het incident zo snel mogelijk na ontdekking wordt beschreven.
Vermijd het wijzigen van portemonneesoftware, het terugzetten van de fabrieksinstellingen van apparaten of het verwijderen van applicaties voordat bewijsmateriaal is vastgelegd. Schermafbeeldingen moeten waar mogelijk zichtbare tijdstempels en metagegevens bevatten.
Organiseer bewijsmateriaal op datum en bron ter ondersteuning van de tijdlijnreconstructie en eigendomsverificatie tijdens vertrouwelijke beoordeling.
De kwaliteit van het bewijsmateriaal is rechtstreeks van invloed op de analyse van de haalbaarheid van herstel; EnteleCLOS garandeert geen resultaten, ongeacht de volledigheid van het bewijsmateriaal.