試験問題では、フォレンジックの目的（インシデントの原因究明、法的証拠の確保）と手順に関する技術的な知識が問われます。特に「ハードディスクの複製を作る際に、データの改ざんを防ぐためのライトブロッカー（書込み防止装置）を使用する」ことや、「ハッシュ値を用いてオリジナルのデータと同一であることを証明する（完全性の保証）」というポイントが頻出します。また、電源を切るとデータが消失する「揮発性情報（メモリ内のログ、実行中のプロセスなど）」と「不揮発性情報（ハードディスクのファイル）」の収集順序についての理解（揮発性の高いものから先に収集する）も出題されやすいので整理しておきましょう。

関連用語としては、データの改ざんがないことを証明するために用いる「ハッシュ値」、インシデント発生直後の緊急のログやメモリ情報を収集する「ライブフォレンジック」、そして企業における事故対応チーム「CSIRT」などがあります。