Para todos los que nos iniciamos en la informatica forense deberiamos leer el siguiente documento 800-61, el cual contiene las directrices que se deben seguir cuando tenemos un "incidente de seguridad", este documento abarca desde la diferencia entre un informatico forense y un ingeniero de respuesta a incidentes hasta como preservar la evidencia.

Lo pueden leer en la siguiente direccion: http://csrc.nist.gov/publications/nistpubs/800-61/sp800-61.pdf

Si deseas contactarme pierre.forensia@gmail.com, un saludo desde mexico!