Компьютерно-техническая экспертиза предусматривает сохранение содержимого носителей информации в неизменном виде. Более того, этого требует Уголовно-процессуальный кодекс РФ, который гласит, что эксперту запрещено совершать действия, которые могут привести к изменению основных свойств исследуемого объекта. Если данный запрет будет нарушен, это устранит в случае необходимости возможность проверки заключения эксперта – проведение повторной компьютерно-технической экспертизы.
В ходе проведения компьютерно-технической экспертизы специалист работает через так называемую доверенную операционную систему, которая не записывает ничего несанкционированного на жесткий диск. Он на исследуемом компьютере может быть и физически защищен от изменений за счет подключения его через особое устройство.
Для проведения собственно компьютерно-технической экспертизы исследователь либо создает файл-образ жесткого диска на своем компьютере, либо через специальное программное обеспечение посекторно копирует на другой жесткий диск. Вся информация на изъятом жёстком диске компьютера сохраняется в неизменном виде.
