Технические следы могут связать операцию с учётной записью, устройством или сетевым адресом, но сами по себе не позволяют установить, кто совершил действие. Общий компьютер, переданный пароль, автоматическое задание или удалённое управление допускают другие объяснения. Эксперт сопоставляет источники и проверяет, какие версии подтверждаются и какие нельзя исключить.
Для исследования нужны журналы за спорный период, сведения о доступе, конфигурации и времени системы, а также связанные устройства и документы. Сообщите о совместном использовании аккаунта, смене паролей и известных удалённых подключениях. Вопрос лучше связывать с конкретной операцией и её техническими признаками. Виновность в совершении преступления устанавливает суд; ответственность оценивается в соответствующем производстве по совокупности доказательств, а эксперт описывает установленные обстоятельства и ограничения.