Ответ
Начните с факта, который требуется установить. Историю записей и возможность восстановления исследует экспертиза изменений и удаления данных; реализацию требований подрядчиком — экспертиза соответствия ТЗ; перенос между системами — экспертиза миграции; зафиксированные замедления и отказы — экспертиза производительности.
Если уже имеется заключение, выбирают рецензию, а не повторяют первичное исследование под другим названием. Путь атаки, вредоносное ПО и компрометация инфраструктуры относятся к DFIR.
Для первичного выбора сообщите СУБД и версию, спорный период, конкретные таблицы или операции, доступные копии и документы. По этому описанию эксперт отделит основную задачу от смежных и предложит обоснованный формат работы.