El criterio también se comparte.

Una adquisición lógica obtiene información mediante las interfaces que permite el dispositivo. Una adquisición de sistema de archivos puede acceder a una estructura y unos artefactos más amplios, según el método disponible.

La imagen física busca copiar el espacio de almacenamiento accesible al procedimiento empleado. En dispositivos modernos, disponer de datos físicos no significa disponer de información descifrada ni de todos los datos eliminados.

La elección debe partir del objetivo del encargo y de una evaluación del modelo, versión, estado y cifrado del soporte.

Una función hash como SHA-256 calcula una huella a partir de unos bytes concretos. Comparar la huella de un archivo en dos momentos permite comprobar si coincide su contenido.

La huella por sí sola no demuestra quién creó el archivo ni que el dispositivo no hubiera sido alterado antes de la adquisición. Debe acompañarse de identificación del soporte, registro del procedimiento y contexto.

Las adquisiciones en vivo o de sistemas que cambian durante la lectura exigen explicar qué se ha verificado y en qué momento.

Una lectura de memoria puede contener páginas con errores, bloques reorganizados y datos distribuidos por la controladora. Para reconstruir información utilizable puede ser necesario aplicar corrección de errores y recuperar la organización lógica.

En memorias integradas, el cifrado y la vinculación de claves al dispositivo pueden impedir interpretar una lectura independiente del chip.

Antes de extraer o desoldar componentes conviene evaluar si la intervención conserva la vía de acceso a las claves y si existen alternativas menos invasivas.