Identificación y adquisición de evidencias: identificación de recursos, alcance y objetivos necesarios, para garantizar de forma precisa el conocimiento del tipo de evidencia que se busca, dónde encontrarla y cómo proceder para la obtención de esta. Llevando a cabo las siguientes tareas: Aseguramiento del equipamiento a analizar, Identificación de debilidades y fortalezas en los equipos, Realización de la investigación preliminar, Identificación de la tipología de red y equipos informáticos, Evaluación del caso y Plan de adquisición de evidencias