单选题

IS审计师正在检查为保存数字证据所采取的流程。以下哪个发现最值得关注？（）

A 在证据检索的时候系统的所有者没有出现

B 调查者将系统断线

C 证据移交时没有文档记录

D 随时访问内存（RAM）的内容没有备份

解析： 证据被适当的处理并永远不被物理的或逻辑的修改非常重要，该流程的目标是可在法庭上真实的证明技术调查没有对数据做任何修改。如果调查者没有充分的手工或数字证据辩护方将试图基于证据可能被篡改货修改的事实来避免承认证据。注意对数字证据保存的法律要求在不同的国家之间是不同的，因此需要遵守当地法律。系统的所有者可能在数据检索的时候出现，但这并不是绝对必须的。在一些情况下所有者可能是调查的对象。在绝大多数情况下调查者需要关掉机器的电源以以创建一个硬盘驱动器的法庭镜像，因此这不是一个值得关注的问题。在关闭机器的电源之前，调查者应当对计算机的屏幕进行拍照，识别正在打开的文档以及任何其他的相关信息。重要的是，调查者需要直接关掉机器的电源而不是直接关机操作流程，许多操作系统在关机操作流程中清空临时文件，这可能会破坏有价值的证据。典型的司法调查技术不需要拷贝台式计算机或笔记本电脑的系统状态，因此，这不是正确的答案。点评：证据的完整性最重要。