我国《互联网信息服务管理办法》规定：“从事新闻、出版以及电子公告等服务项目的互联网信息服务提供者，应当记录提供的信息内容及其发布时间、互联网地址或者域名；互联网接入服务提供者应当记录上网用户的上网时间、用户账号、互联网地址或者域名、主叫电话号码等信息。”

(一)收集电子证据的基本程序。

当不涉及专门的计算机检查与维护技术时，侦察和司法人员可以采取简单的取证方式：首先由提供证据的操作人员打开计算机找到所需收集的证据；然后由取证人员确认该文件及该文件的形成时间，采用打印或拷贝的方式予以提取固定。如现场打印文件时，取证人员必须监督打印过程，防止计算机操作人员在打印过程中修改文件。如采用拷贝方式取证，取证人员应当自备计算机，拷贝后，将软盘或光盘插入自备计算机中进行检查。在查找证据过程中，如遇技术问题，应及时邀请专家予以协助。

无论采取那种取证方式，在固定证据后，应当现场制作检查(取证)笔录。笔录主要包括：①案由；②参加检查的人员姓名及职务；③检查的简要过程(检查时间、检查地点及检查顺序等)；④检查中出现的问题及解决方法；⑤取证方式及取证份数，注明数据信息在计算机中的位置(如存放于那个文件夹中等)；⑥参与检查的人员签名。

对于涉及计算机技术问题的复杂情况取证，需要专业技术人员协助进行电子证据的收集和固定。一般是：先由计算机专家检查硬件设备，切断可能存在的其他输入、输出设备，保证计算机储存的信息在取证过程中不被修改或损毁；与此同时，侦查人员应当进行现场访问：询问计算机是否设置密码及密码的组成，使用的软件及软件的来源，谁负责软件的维护、调整，对软件作过哪些修改，计算机的日常管理情况，是否出现过故障(如病毒感染等)及如何解决的，案件所涉及的资料存放于存储设备的什么位置，有无备份等。

检查时，应当注意对隐蔽文件的查找。有备份的，应由计算机专家同时检查备份文件，查明备份文件与原文件是否一致。然后按照前述方法打印和拷贝计算机文件，固定电子证据。

固定证据后，制作检查笔录。除前述检查笔录的内容外，对解密、数据测试等过程也应当作出详细的记录。

考虑到计算机操作人员可能不提供密码，计算机专家应当携带解密工具；对可能需要进行数据测试的，专家应当携带事相应的测试软件；必要时，可以对整个取证及软件测试过程进行录像。

收集和固定电子证据时应当把握如下二点：

①及时封存设备。由于电子证据容易损毁，在侦查和诉讼活动中应当及时封存储有电子文件的硬盘、软盘或CDROM。为了防止意外，可以将整个存储器拆卸下来，然后聘请专门人员对数据进行还原处理。另外还可借助一种专门设备，在公证员或中立的证人监督下对目标存储器进行镜像复制，从而解决对大型网络公司或专业数据公司进行证据封存将危害多数人的合法权益和数据安全的问题。

②证据收集应当根据电子证据种类的不同，采取不同的方式进行收集，不能千篇一律。譬如收集电子邮件，除对当事人的计算机留存和下载的电子邮件进行收集外，还应该向电子邮件服务器提供商收集证据，电子邮件服务器一般都如实记录了电子邮件的内容以及收发和提取日期时间。

(二)电子证据的检验

电子证据检验的目的主要在于认定作为证据使用的电子文件的原始性和真实性。

目前，电子证据检验的方法主要有：

①利用专门的仪器、设备，通过运行特定的程序对电子证据的形成过程进行检查及验证。包括对形成和存储电子文件的技术设备的质量和性能的可靠性检查，和对电子证据的形成过程进行技术检验。

②利用技术设备对电子证据所反映的内容真伪进行鉴别。作为电子证据的数据以电信号代码形式贮存于计算机各级存贮介质中，输出的数据和信息多以不可直接读取的形式出现，必须用相应的电子设备和技术方法方可被反映、被感知。

如上两项检验应当聘请有关专家进行检验或指导。

③利用证据间的逻辑关系来判明电子证据的原始与真实性。结合整个案情进行综合分析，运用多种或多个证据之间存在的逻辑关系，进行推理判断；作为电子证据的信息和数据，与其他证据之间是否一致，与案件发生的时间、地点、原因、结果等有无联系与矛盾，从而认定电子证据的原始性和内容形式的真实性。