Thu thập (Collection) là kiến thức quan trọng có thể giúp người phản ứng sự cố (incident responders) trong việc học quy trình tấn công và truy tìm kẻ tấn công. Do đó, người phản ứng sự cố nên nắm bắt nơi họ sẽ tìm thấy bằng chứng và phương pháp thu thập nó.
Phần này mô tả về thu thập và bảo vệ bằng chứng, thu thập bằng chứng vật lý, quản lý máy tính đang bật, quản lý máy tính tắt, quản lý máy tính kết nối mạng, quản lý file mở và file khởi động, quy trình kết thúc hệ điều hành, và tổng hợp bằng chứng từ mạng xã hội.
Nguyên tắc quyền riêng tư thông tin chỉ đạo cách Bộ phận này nên xử lý thông tin cá nhân. Cần phải tối đa hóa thực hành của chúng ta phù hợp với IPPs và bên cạnh bối cảnh công việc cụ thể để xác định liệu thực hành hiện tại có cần thay đổi không. Quy trình này có thể cần cân bằng quyền riêng tư với lợi ích cạnh tranh và nhu cầu chính phủ.
Chỉ thu thập thông tin cá nhân quan trọng cho việc thực hiện các mục tiêu hoặc hoạt động của cơ quan. Thông tin cá nhân nên được thu thập hợp pháp, vừa phải và không xâm lấn. Nếu áp dụng, thông tin nên được thu thập từ người liên quan. Nguyên tắc này bao gồm các nội dung sau:
- Một cơ quan không nên thu thập thông tin cá nhân trừ khi thông tin đó quan trọng cho một hoặc nhiều chức năng hoặc hoạt động của nó.
- Một cơ quan nên thu thập thông tin cá nhân chỉ bằng phương tiện hợp pháp và công bằng và không theo cách xâm lấn vô lý.
- Tại hoặc trước thời điểm (hoặc, nếu không áp dụng, sớm nhất có thể sau khi) một cơ quan thu thập thông tin cá nhân về một cá nhân từ cá nhân đó, cơ quan nên thực hiện các bước hợp lý để đảm bảo cá nhân đó nhận thức được tất cả các điều sau:
- Danh tính của tổ chức và cách liên hệ nó.
- Sự thật rằng cá nhân có thể có quyền truy cập vào thông tin.
- Mục đích thông tin được thu thập.
- Các cá nhân hoặc tổ chức, hoặc lớp cá nhân hoặc tổ chức, mà cơ quan thường tiết lộ thông tin cùng loại.
- Bất kỳ luật pháp nào yêu cầu thông tin cụ thể đó phải được thu thập.
- Hậu quả chính (nếu có) cho cá nhân nếu tất cả, hoặc một phần, thông tin không được cung cấp.
- Nếu hợp lý và thực tế để làm vậy, một cơ quan phải thu thập thông tin cá nhân về một cá nhân chỉ từ cá nhân đó.
- Nếu một cơ quan thu thập thông tin cá nhân về một người từ người khác, nó nên thực hiện các bước hợp lý để đảm bảo cá nhân đó đã hoặc đang được làm chú ý đến các vấn đề nêu trên mà người đó nên được làm nhận thức, trừ khi việc làm cho cá nhân nhận thức những vấn đề đó sẽ tạo ra mối đe dọa nghiêm trọng đến cuộc sống hoặc sức khỏe của người đó hoặc người khác.