Сначала определите факт, который требуется установить. Историю записей и возможность восстановления исследует экспертиза изменений и удаления данных; реализацию требований подрядчиком — экспертиза соответствия ТЗ; перенос между системами — экспертиза миграции; зафиксированные замедления и отказы — экспертиза производительности.
Если нужно проверить недостатки уже подготовленного заключения, выбирают рецензирование. Если же требуется заново исследовать сохранившийся объект, может понадобиться новое, дополнительное или повторное исследование. Путь атаки, вредоносное ПО и компрометацию инфраструктуры исследуют в рамках расследования компьютерного инцидента (DFIR). Слово «мошенничество» в вопросе эксперту заменяют описанием проверяемых операций: правовую квалификацию он не устанавливает.
Для первичного выбора сообщите СУБД и версию, спорный период, конкретные таблицы, коллекции, ключи или операции, доступные копии и документы. Задачу выбирают одновременно по предмету и платформе: например, исследование удаления в PostgreSQL сочетает обе методики.