L'espressione digital forensics (in italiano letteralmente “investigazioni informatiche”) allude in via generale all'uso degli strumenti digitali per finalità investigative. Gran parte delle informazioni necessarie per l’accertamento di un reato, informatico o comune, transitano nel mondo digitale ed è perciò di fondamentale importanza adeguare le tecniche investigative alle “nuove fonti” di prova, alla luce dei nuovi cartatteri (immaterialità, fragilità e rischio di contaminazione) che esse presentano.
Nell'ordinamento nazionale la materia è regolata dalla legge 18 marzo 2008, n. 48, di ratifica della Convenzione del Consiglio d'Europa del 2001 sulla criminalità informatic, che si prefigge di assicurare la conservazione senza alterazioni, anche successive, del dato informatico originale, la formazione di una copia conforme non modificabile dell’elemento acquisito, e l’installazione di sigilli informatici sui documenti appresi. In particolare, la modalità per preservare il dato informatico e garantirne l’autenticità consiste nel tracciare la procedura di repertamento e analisi, così da escludere alterazioni delle tracce informatiche intervenute successivamente alla creazione, trasmissione o allocazione in altro supporto (cosiddetta “catena di custodia”). Più nel dettaglio, è necessario assicurare che:
1) nessuna azione sia svolta se idonea ad altera i dati direttamente o indirettamente;
2) non si acceda mai direttamente ai dati sulla scena del crimine e che se una azione simile sia indispensabile per scongiurare il rischio di una perdita definitiva, chi vi accede possieda le competenze tecniche e le conoscenze giuridiche necessarie per svolgere le operazioni e, successivamente, illustrare i passaggi seguiti nelle attività informatiche;
3) tutte le azioni sulla scena del crimine siano ritualmente e adeguatamente documentate, in modo tale da consentire al giudice e alle parti del processo di valutarne la correttezza e di poterle utilizzare a fini di prova;
4) colui che conduce le indagini sia responsabile del rispetto di tali prescrizioni e risponda delle eventuali violazioni.

Una volta acquisito il dato informatico, è necessario garantire la sua corretta conservazione. Poiché nella dimensione digitale non esiste ovvero è sfumata la distinzione tra originale e copia, molto spesso la conservazione della prova avviene attraverso una attività di riversamento dei dati su supporti di memoria particolarmente affidabili (cosiddetta copia forense). Anche la procedura di copia dei dati deve seguire tassativamente le procedure necessarie al fine di garantire la genuinità e l’affidabilità del compendio acquisito.