Điều tra số không phải là “mở máy lên xem có gì”. Đó là một quy trình khoa học, tuần tự, được thiết kế để bằng chứng thu được đủ tin cậy và có giá trị pháp lý. Bài viết trình bày 5 giai đoạn chuẩn mà mọi cuộc điều tra đều đi qua.
Giai đoạn 1: Nhận diện (Identification)
Xác định phạm vi: thiết bị nào, hệ thống nào có thể chứa bằng chứng liên quan. Ở bước này, điều tra viên trả lời câu hỏi cần thu thập cái gì và ở đâu, đồng thời ưu tiên các nguồn dữ liệu dễ mất (như bộ nhớ RAM).
Giai đoạn 2: Bảo toàn (Preservation)
Đây là bước quan trọng nhất về mặt pháp lý. Bằng chứng gốc phải được giữ nguyên trạng:
- Tạo bản sao pháp y (forensic image) — bản sao bit-by-bit của toàn bộ thiết bị.
- Dùng write blocker để đảm bảo không ghi đè lên ổ gốc.
- Tính giá trị băm (hash) của cả bản gốc và bản sao để chứng minh chúng giống hệt nhau.
Mọi phân tích sau này đều thực hiện trên bản sao, không bao giờ trên bản gốc.
Giai đoạn 3: Phân tích (Analysis)
Trên bản sao, điều tra viên tìm kiếm và diễn giải bằng chứng: khôi phục file đã xóa, dựng lại dòng thời gian sự kiện, truy vết hoạt động của người dùng hoặc mã độc. Đây là phần đòi hỏi kỹ thuật và tư duy phân tích nhiều nhất.
Giai đoạn 4: Lập tài liệu (Documentation)
Ghi lại mọi thao tác: đã dùng công cụ gì, phiên bản nào, thao tác lúc mấy giờ, kết quả ra sao. Tài liệu tốt giúp cuộc điều tra có thể được lặp lại và kiểm chứng độc lập — yếu tố sống còn nếu ra tòa.
Giai đoạn 5: Báo cáo (Reporting)
Trình bày kết quả bằng ngôn ngữ rõ ràng cho đối tượng đọc — có thể là lãnh đạo doanh nghiệp không chuyên kỹ thuật, hoặc tòa án. Báo cáo tốt nêu được: đã tìm thấy gì, bằng cách nào, và kết luận có cơ sở đến đâu.
Vì sao phải tuân thủ quy trình?
Một bằng chứng thu thập sai cách có thể bị bác bỏ hoàn toàn, dù nội dung của nó có giá trị. Quy trình chuẩn không phải thủ tục rườm rà — nó là thứ biến “dữ liệu tìm thấy” thành “bằng chứng đáng tin cậy”.