1.涉及計算機系統的保護。(1)第壹時間封鎖了涉案電腦。(2)復制涉案電腦的硬盤、光盤等存儲介質的原始數據，盡量避免在原電腦中操作，以免數據丟失。需要使用硬盤拷貝機對涉案的整個硬盤進行拷貝。(3)采用先進的計算機取證探索箱收集證據，具有適用範圍廣、攜帶方便、標準化、專業化等特點。(4)現場取證調查時應記錄的內容包括:計算機用戶、計算機狀態、計算機是否聯網、現場執行取證的人員、計算機的品牌和型號、計算機硬盤的序列號、計算機外設等。
2.確定證據。(1)使用搜索工具進行壹系列關鍵字搜索，以找到最重要的信息。(2)借助專業的刪除格式恢復工具，找出被刪除、隱藏和加密的信息。註意，Windows系統的交換文件和硬盤上未分配的空間，往往包含著嫌疑人容易忽略的證據。(3)利用數據解密技術和密碼解密技術，強行訪問電子介質中的受保護信息，獲取信息。(4)將采集的數據與辦案民警初步確定的數據進行核實。(5)收集的原始數據應進行備份。
3.提取分析數據。(1)使用專業的取證分析平臺，分析文件屬性、文件摘要和日誌。分析平臺應具備數據恢復、數據修復、多格式支持、信息檢索等必要功能。(2)作出與案件有關的分析報告，以獲得確鑿的證據。
4.歸檔。結論和電子證據應嚴格保存和備份。辦案人員檢查時必須登記。
法律依據:
最高人民法院、最高人民檢察院、公安部關於刑事案件電子數據收集、提取、審查判斷若幹問題的規定第八條收集、提取後能夠扣押電子數據原始存儲介質的，應當扣押、封存原始存儲介質，並制作筆錄，記錄原始存儲介質的封存狀態。
電子數據的原始存儲介質應當密封，並保證在不解除密封狀態的情況下，不能對電子數據進行添加、刪除或修改。封存前後應對封存的原始存儲介質進行拍照，清晰反映封存或張貼封條的情況。
存放手機等具有無線通信功能的存儲介質時，應采取信號屏蔽、信號阻斷或切斷電源等措施。