Ta vare på transaksjonseksporter, utvekslingsposter, e-postkorrespondanse, enhetslogger og kronologiske notater som beskriver hendelsen så snart som mulig etter oppdagelse.
Unngå å endre lommebokprogramvare, tilbakestille enheter til fabrikkstandard eller slette programmer før bevis fanges. Skjermbilder bør inkludere synlige tidsstempler og metadata der det er mulig.
Organiser bevis etter dato og kilde for å støtte tidslinjerekonstruksjon og eierskapsverifisering under konfidensiell vurdering.
Beviskvalitet påvirker direkte gjenopprettingsgjennomførbarhetsanalyse; EnteleCLOS garanterer ikke utfall uavhengig av bevisets fullstendighet.