Исследуют сохранённые журналы корпоративной системы, входа в домен, удалённого доступа, почтового сервера и средств защиты. Эксперт проверяет, какие права были у учётной записи, какие операции выгрузки, печати или отправки отражены в записях, с какими устройствами, сеансами и сетевыми адресами они связаны. Наличие учётной записи в журнале само по себе не устанавливает, кто физически выполнил действие. Отсутствие записи тоже не доказывает, что выгрузки не было: нужное событие могло не регистрироваться.
Сохранение источников и изменение доступа поручают уполномоченному специалисту в порядке, согласованном с работодателем и юристом. Не удаляют нужные учётные записи, почтовые данные и ключи восстановления; выключенный компьютер без согласования не включают. Выгрузку на носитель проверяют по следам использования компьютера, а не только по журналу прикладной системы. Специалист учитывает настройки регистрации и сохранившиеся цифровые следы; подключение флешки ещё не подтверждает копирование определённого файла.
Если вопрос касается использования кода или разработок компании, сопоставляют конкретные файлы и версии, историю их изменений и следы передачи либо запуска. Сходство проверяют с учётом общих библиотек и типовых решений. Принадлежность прав, неправомерность использования и вину по одному техническому совпадению не устанавливают; правовую оценку дают с учётом договоров и других доказательств.