Fase 1: Voorbereiding
In de eerste fase van een forensisch onderzoek wordt een onderzoeksomgeving (crime lab) opgezet. Onder de onderzoeksomgeving vallen de infrastructuur, hardware, software, het logboek en handelingsprotocollen, zoals vaststellen wie eindverantwoordelijk is. In deze fase vindt ook het vooronderzoek plaats en wordt het plan van aanpak opgesteld. Hierin wordt vastgesteld wat er wordt onderzocht, wat de hoofdvraag- en deelvragen zijn en of er hypotheses kunnen worden opgesteld. Uiteraard altijd in overleg met de opdrachtgever.
Fase 2: Verwerving
In deze fase van het forensisch onderzoek wordt de onderzoeksdata verkregen of veiliggesteld. Dit wordt meestal gedaan door middel van `Imaging'. Het veiligstellen van onderzoeksdata wordt beschreven en toestemming zal worden vastgelegd in een verklaring. Alle verdere onderzoeksactiviteiten worden op deze forensische kopieën uitgevoerd. De originele gegevensdragers blijven onaangeroerd.
Fase 3: Verwerking
De processtappen verwerking en analyse kunnen simultaan plaatsvinden. In deze fases wordt data geïdentificeerd, worden bestandstypes herkend, worden bestanden ontsleuteld en indien mogelijk zullen bestanden worden `ontdubbeld'.
Fase 4: Analyse
Tijdens een forensisch onderzoek is het gebruikelijk een tijdlijn op te stellen. Door middel van een tijdlijn wordt een overzicht opgesteld waarmee mogelijke verbanden worden gelegd tussen uitgevoerde acties. Tijd en datum zijn de meest kritieke onderdelen in forensisch proces. Daartoe zal data in gespecialiseerde software worden geïndexeerd om sneller te worden geanalyseerd. Hieruit zal een tijdlijn van gebeurtenissen worden opgesteld (zoals bijvoorbeeld wie wanneer was ingelogd op het systeem, wanneer welke programma’s zijn opgestart, wanneer welke websites zijn bezocht etc.).
Fase 5: Verificatie
Tijdens de verificatie-fase zal worden geverifieerd of vermeend bewijs ook daadwerkelijk als bewijs te gebruiken is. Data moet terug te redeneren zijn naar de bron en worden gekoppeld aan een verdachte of verdachte activiteit. In deze stap worden de conclusies uit de analyse gevalideerd.
Fase 6: Presentatie
In deze fase zal het rapport worden gedeeld en kunnen bevindingen worden gepresenteerd. Eventuele verklaringen van getuigen zullen in deze fase worden besproken. Indien er inderdaad sprake is van een mogelijk misdrijf, worden bevindingen opgesteld die gebruikt kunnen worden in een strafrechtelijk onderzoek.
Fase 7: Archivering
In de laatste fase van het forensisch proces zal archivering plaatsvinden. Onderzoeksdata, bewijs, software en hardware kunnen worden opgeslagen. Wanneer inderdaad een strafrechtelijk onderzoek zal plaatsvinden, dan moet de beschikbaarheid van deze informatie voldoen aan de wetgeving.