No tratamento de incidentes de segurança, quando da coleta de dados nas mídias dos sistemas comprometidos, deve-se priorizar a utilização de ferramentas que realizam a cópia dos dados no nível físico, para evitar alterações nos dados ou metadados.

São atividades da fase de preparação para a resposta a incidentes: a obtenção de mídias sanitizadas; a confecção de um kit com ferramentas de resposta em mídia read only; e o estabelecimento de uma cadeia de custódia.