Una metodologia difendibile è un processo ripetibile e documentato per raccogliere, esaminare e preservare le prove digitali. Un altro investigatore qualificato dovrebbe poter comprendere che cosa è stato fatto e perché, nonché riesaminare i risultati senza compromettere l’integrità delle prove.
Nelle indagini sulla sicurezza informatica, contribuisce a ottenere risultati affidabili e a sostenerne l’esame in procedimenti legali o interni. I team la applicano registrando le fasi di acquisizione, gli strumenti e le impostazioni, le date e gli orari, la gestione delle prove e gli eventuali limiti, preservando al contempo gli originali e mantenendo la catena di custodia. Procedure coerenti sono importanti sia quando si esamina un singolo dispositivo, sia quando si raccolgono dati da numerosi endpoint: la rapidità non dovrebbe andare a scapito della tracciabilità o della possibilità di revisione.