Chain of Custody 常譯為「保管鏈」或「監管鏈」，指資產或資料載體從交付服務商開始，到完成銷毀、分流及文件交付為止，每一個持有、移轉與處理節點都有可追溯紀錄。它的目的不是增加表單，而是讓企業能回答：哪些設備已交接、目前由誰保管、採取何種處理方式，以及結果如何被驗證。
保管鏈通常包含哪些資訊？
第一步是建立清楚的交接範圍。設備名稱、資產編號、序號、資料載體類型、數量與異常狀況，應在離場前或指定節點完成記錄。若專案數量較大，可先定義批次、箱號、封條與清冊之間的對應方式。
運輸階段需保留收取時間、交接人員、車輛或承運資訊，以及封裝是否完整。對於資料不得離場的案件，保管鏈則應反映現場管制區域、見證人員、設備進出與處理完成時間。
銷毀紀錄如何銜接？
資料銷毀方式應依 HDD、SSD、磁帶或其他媒體分別記錄。抹除、消磁與物理破壞的適用條件不同，企業可依自身政策、媒體狀態與風險要求選擇。若處理過程發生序號不符、設備故障或無法執行原訂方式，也應留下異常紀錄與替代處理結果。
最後應取得哪些文件？
常見交付包括銷毀證明書、序號清冊、交接紀錄與依約提供的照片或錄影。文件內容應與實際服務一致，並在專案開始前確認欄位與簽核需求。NIST SP 800-88 或 DIN 66399 可作為方法與媒體分類的參考，但是否符合企業政策，仍需由企業依自身治理程序判斷。
完整的 Chain of Custody 能降低資產遺漏與責任不明的風險，也讓資訊、採購、稽核與永續團隊有共同的結案依據。