Dentre os procedimentos de resposta a um incidente de segurança da informação, recolher as evidências o quanto possível após a ocorrência. Convém
que procedimentos sejam desenvolvidos e seguidos
quando se está lidando com evidências. Um procedimento utilizado para tratar as evidências é: