先有授权再动手
取证活动会接触他人设备与数据，动手之前必须确认授权链条：谁委托、可以操作哪些设备与账号、覆盖什么时间范围、允许做哪些动作。授权范围之外的任何操作，既可能违法，也会让已经取得的证据在争议中失去说服力。企业内部调查与司法机关委托的规则不同，但共同点是：授权要有可追溯的书面或电子记录，范围变化要有新的审批。
基本信息
| 文件形式 | 委托书、授权书、工单编号、审批邮件（需可追溯） |
|---|---|
| 四要素 | 目标对象、有效期、可执行动作、数据范围 |
| 动作分级 | 只读采集 / 镜像固定 / 在线排查 / 现场处置，逐项列明 |
| 边界区分 | 公司设备与个人设备、生产环境与测试环境，处置要求不同 |
| 记录要求 | 授权文件与执行记录一并归档，作为过程材料的一部分 |
| 变更控制 | 范围扩大、时间延长、目标新增都要重新审批并留痕 |
典型使用场景
- 受委托处理疑似被入侵的服务器，先确认可以采集哪些主机
- 需要在办公电脑上做镜像，确认设备归属与授权文件
- 排查过程中发现新的关联主机，按变更流程补齐授权再操作
- 涉及第三方云平台，确认平台侧配合方式与职责边界
- 员工个人设备、个人账号的处理，边界与限制须提前写清
- 把授权范围写进报告开头，说明本次分析的效力边界
记录要点
记录要点
# 现场先填写并留存，随案件材料归档
委托方：
联系人与联系方式：
事件编号：
目标设备与账号范围：
允许动作：只读采集 / 镜像固定 / 在线排查 / 其他（写明）
授权有效期：
数据范围限制（如仅限特定目录或时间窗）：
审批记录：书面文件编号或电子审批截图
变更记录：新增范围、审批时间与审批人授权要素逐项
| 要素 | 说明 | 缺失风险 |
|---|---|---|
| 委托主体 | 谁有权提出委托 | 越权操作，证据效力被质疑 |
| 目标对象 | 设备、账号、IP 与物理位置 | 超出范围接触无关设备 |
| 有效期 | 授权起止时间 | 过期后继续操作属无授权行为 |
| 允许动作 | 只读、镜像、在线命令、断网处置等 | 在现场做了未被许可的改动 |
| 数据范围 | 可访问的数据类别与目录 | 触碰无关业务数据与个人信息 |
口头授权不足以作为依据。现场至少留存书面文件或可追溯的电子审批记录；确实来不及办理时，应先取得可追溯的授权信息再动手，并在记录中注明审批补办情况。
涉及个人信息、跨境数据、云平台托管资源的场景，技术侧要提前确认合规要求与平台配合条款；本条目只作技术操作侧的提示，具体适用范围以法律意见与内部制度为准。