Preiskava računalniškega kriminala želi ugotoviti naravo kaznivega dejanja in zbrati dokaze, ki vodijo do obsodbe. Na poti lahko preiskovalci odkrijejo informacije, ki jih lahko uporabijo za napovedovanje in preprečevanje podobnih kaznivih dejanj v prihodnosti. Na primer, lahko opazijo vrzel v programu, ki omogoča vdore, in se lahko obrnejo na proizvajalca, da priporoči popravek za odpravo težave. Za tovrstno delo je potrebno usposabljanje na področju informacijske tehnologije, prav tako izkušnje pri zbiranju in ravnanju z dokazi, da se zmanjša tveganje za zbiranje informacij, ki jih ni mogoče zakonito uporabiti.
Postopek se začne, ko nekdo pokliče, da prijavi kaznivo dejanje, ali pa nadzorna agencija odkrije dokaze kaznivega dejanja. Preiskovalne ekipe morajo zavarovati računalnike, omrežja in komponente, ki so lahko povezane z incidentom. To lahko vključuje stvari, kot so finančna omrežja, povezana s poneverbo pri goljufijah, ali računalniška omrežja, ki so namenjena zlonamernim vdorom, da bi razkrili in ogrozili podatke. Preiskave računalniškega kriminala so lahko zahtevne zaradi minljive narave dokazov, zaradi česar je ključnega pomena, da se računalniki zavarujejo in nadzorujejo, preden se začne preiskava.
Preiskovalci lahko klonirajo sistem, da bi ga raziskali, ne da bi pri tem ogrozili izvirnik. Preiskave računalniškega kriminala lahko vključujejo podrobno revizijo računalniškega sistema za iskanje zlonamerne kode, varnostnih vrzeli in drugih težav. Preiskovalci lahko iščejo ogrožajoče datoteke in programe, vključno z materialom, ki so ga ljudje poskušali izbrisati, spremeniti ali prikriti. Posebnosti preiskave so odvisne od vrste kaznivega dejanja, ki se preiskuje. Za vdiranje, na primer, morajo preiskave računalniškega kriminala odkriti dokaze, da je prišlo do vdorov, in jih morajo povezati z virom.
Vzdrževanje verige dokazov s preiskavami računalniškega kriminala je izziv. Preiskovalci morajo skrbno dokumentirati vse, kar počnejo, in lahko posnamejo video, snemajo pritiske tipk in sprejmejo druge ukrepe za spremljanje svojih dejavnosti. V primeru, da se dokazi izpodbijajo na sodišču, mora biti ekipa sposobna dokazati, da so dokazi izvirni, brez sprememb, ki bi lahko ogrozile njihovo veljavnost. Člani tega področja nenehno revidirajo in posodabljajo smernice za dokaze, da bi bili v koraku s preiskavami računalniških zločinov in postavili standard, ki ga preiskovalci upoštevajo, kjer koli delajo.
Ko so dokazi v celoti zbrani in katalogizirani, se lahko ekipa odloči, da obdrži opremo, ki jo je zasegla, dokler zadeva ne gre na sodišče in se ne zasliši. To jim zagotavlja dostop, če ga med preskusom potrebujejo. V nasprotnem primeru se lahko računalniki in druge naprave vrnejo lastnikom, kar bi lahko na koncu ogrozilo vse preostale dokaze.