Lo stato volatile è costituito da dati che esistono solo mentre un sistema è in esecuzione o accessibile nella sua forma corrente. Esempi comuni includono il contenuto della RAM, le connessioni di rete attive, i processi in esecuzione, i token di sessione, i file temporanei e alcune chiavi di crittografia. Una volta che il dispositivo si spegne, si riavvia o il processo termina, tali informazioni possono andare perdute o possono cambiare durante il normale utilizzo.
Nella sicurezza informatica, lo stato volatile è importante perché spesso contiene la prova più chiara di ciò che un sistema sta facendo in questo momento. Gli investigatori possono doverlo acquisire prima dello spegnimento per preservare artefatti di malware, codice iniettato, connessioni di comando e controllo o dati decrittografati. Anche i difensori utilizzano l'analisi della memoria live e delle sessioni per individuare intrusioni che lasciano poche tracce su disco. Poiché l'accesso a un sistema in esecuzione può alterare ciò che viene osservato, i dati volatili devono essere raccolti rapidamente e con attenzione, con una documentazione che spieghi il metodo e qualsiasi modifica causata dall'acquisizione.