La informática forense es la rama de la informática que se encarga de la recuperación, preservación y análisis de evidencias electrónicas, tales como: fotografías digitales, e-mail, SMS, transacciones bancarias o rastros de cualquier tipo de actividades a través de internet.
La recuperación de información mediante técnicas forenses consiste en la extracción de evidencias almacenadas en soportes informáticos, sin que el proceso de recuperación pueda alterar la información o coartar su validez como prueba. Este proceso se divide en varias fases: la copia o duplicado del dispositivo donde se almacena la prueba, la preservación de la evidencia, la localización de la información relevante y el análisis de la misma.
Para la copia del dispositivo donde se encuentra la información a recuperar, se utilizan herramientas capaces de realizar un duplicado exacto del sistema original. La razón para poner tanto cuidado en la copia de los datos es la necesidad de que la prueba no pierda validez. Si la copia no fuera exacta o el proceso de duplicado destruyera parcialmente los datos, la prueba podría ser rebatida durante el proceso judicial. Un ejemplo de esta práctica, puede ser el duplicado de un disco duro, donde un supuesto pederasta almacena fotografías pornográficas. Para realizarlo se utilizará un dispositivo de clonado forense, al que popularmente se conoce como 'clonadora'.
La preservación de evidencias se centra en mantener en perfecto estado las pruebas recogidas. Al igual que otro tipo de objetos, el material informático, como discos duros, CD o memorias USB, necesita especiales cuidados para evitar su deterioro o manipulación hasta que se resuelva el proceso judicial y ya no sea necesario mantener la evidencia.
