| 文件 | 委托书 / 授权书 / 工单编号 |
|---|---|
| 要素 | 目标对象、有效期、可执行动作、数据范围 |
记录要点
记录要点
委托方：
事件编号：
目标设备与账号范围：
允许动作：只读采集 / 镜像 / 在线排查
授权有效期：口头授权不足以作为证据依据，现场至少留存书面或可追溯的电子审批记录。
取证授权与委托范围确认
取证开始前先确认授权链条：委托主体、可操作的目标设备与时间范围、允许的处置动作，超出范围的动作会把证据变成风险。
易错点
- 授权范围通常按设备与账号界定，临时扩大要先补审批
- 个人设备与公司设备的处置边界不同，需提前明确
数据来源与参考
- NIST SP 800-86（取证与响应流程）
- ISO/IEC 27037:2012（识别、收集、获取、保全）