У ході кримінального розслідування може знадобитися провести збір та аналіз даних комп'ютерних систем, мереж, систем бездротового зв'язку і пристроїв зберігання. Збір та аналіз даних з цими цілями називається комп'ютерно-технічною експертизою. У процесі комп'ютерно-технічної експертизи дії проводяться на підставі законодавства у сфері ІТ і конкретних законів, згідно з якими зібрані дані можуть бути доказом у суді.
Залежно від країни незаконне використання комп'ютера або мережі може включати в себе:
- Розкрадання персональних даних
- Використання комп'ютера для продажу контрафактних товарів
- Використання неліцензійного ПЗ на комп'ютері або в мережі
- Використання комп'ютера або мережі для створення неавторизованих копій матеріалів, захищених авторським правом: фільмів, телевізійних програм, музики і відеоігор
- Використання комп'ютера або мережі для продажу неавторизованих копій матеріалів, захищених авторським правом
- Порнографія
Цей список не є вичерпним.
Під час проведення процедур комп'ютерно-технічної експертизи здійснюється збір двох основних типів даних: тривалого зберігання і короткочасних даних.
Дані тривалого зберігання − це дані, що зберігаються на локальному диску (на внутрішньому або зовнішньому жорсткому диску або на оптичному диску). Після виключення живлення комп'ютера ці дані зберігаються.
Короткочасні дані − дані, які містяться в ОЗУ, кеш-пам'яті і реєстрах. Дані, які знаходяться в процесі передачі між носієм і ЦП, також є короткочасними. Важливо знати, яким чином можна отримати ці дані, оскільки вони зникають відразу ж після виключення комп'ютера.