デジタルフォレンジックを正しく行うためには、証拠の証拠能力（裁判で認められる適法性と信頼性）を失わせないための厳格なプロセスが必要です。このプロセスにおいて最も重要なのが「保全」の段階です。もし、調査対象のパソコンの電源を入れたり、通常のOS上でファイルを検索したりすると、それだけでシステムファイル（レジストリやタイムスタンプなど）が書き換えられ、「調査過程で書き換えられたものではないか」と疑われ、法的な証拠能力を失ってしまいます。そのため、専用の書き込み防止装置（ライトブロッカー）を装着し、ハードディスクの全セクタをビット単位で完全にコピー（イメージング）します。この際、元データとコピーデータが同一であることを数学的に証明するため、ハッシュ値（SHA-256など）を算出して記録します。解析作業は、このコピーデータに対してのみ行われます。さらに、揮発性データ（電源を切ると消えてしまうメモリ上のデータやネットワーク接続状態など）を優先的に収集する「ライブフォレンジック」技術も、近年の標的型攻撃やランサムウェアの分析において必須となっています。