По сохранившимся источникам иногда можно связать изменение с учётной записью, программой и периодом. Это ещё не устанавливает, кто лично действовал: несколько сотрудников могли использовать общий аккаунт, возможны удалённый доступ и автоматические операции. Время изменения файла базы также не является временем изменения конкретной записи; для неё исследуют доступные журналы и версии данных.
Подготовьте сведения о правах доступа и аккаунтах, журналы авторизации и операций, версии файлов или резервные копии за нужный период. Эксперт проверит полноту источников, настройки времени и альтернативные объяснения. Если аудит не вёлся или записи утрачены, связь с аккаунтом может остаться неопределённой. Технические выводы сверяют с другими материалами дела, а личность устанавливает уполномоченный орган; он оценивает виновность и правовое значение действий.