chain of custody
termoO registro ininterrupto de quem deteve a evidência, quando, e o que fez com ela.
A finalidade é tornar uma resposta defensável, e não apenas correta: um investigador que não consegue mostrar que a evidência foi protegida de alteração tem achados que podem ser descartados sem serem refutados. Na prática é sem glamour - resumos criptográficos tirados na aquisição, trabalho sobre cópias e não sobre originais, timestamps, assinaturas e registro de cada transferência. Importa fora de tribunal porque a mesma disciplina é o que faz um relatório interno de incidente sobreviver ao contato com um fabricante, uma seguradora ou um regulador.
Também conhecido como: custodia