No evidence should be collected until a prosecutor is physically present at the facility / Жодні докази не повинні збиратися, доки прокурор не буде фізично присутній на місці

Operational restoration and evidentiary preservation should be documented as linked but distinct workstreams / Оперативне відновлення та збереження доказів слід документувати як пов'язані, але окремі робочі процеси

Investigators, CSIRTs, operators, engineers, and prosecutors should agree on priority questions and handover points / Слідчі, CSIRT, оператори, інженери та прокурори повинні узгодити пріоритетні питання та пункти передачі

Containment should consider safety, continuity of operations, and evidence preservation / Стримування повинно враховувати безпеку, безперервність операцій та збереження доказів.

Provider requests should be scoped to relevant identifiers and time windows / Запити постачальників повинні бути обмежені відповідними ідентифікаторами та часовими вікнами