В согласованной части задания проверяют версию SAP и установленные исправления, настройки защиты, избыточные права и разделение полномочий. Так проверяют уязвимости в пределах задания. При исследовании конкретного инцидента устанавливают следы доступа, изменения данных или обхода ограничений. Наличие уязвимости не доказывает, что её использовали. Мошенничество, умысел и виновность оценивает уполномоченный орган.
Проверку событий начинают с того, что регистрировалось и сохранилось: журналирование зависит от продукта, приложения и настроек. Отсутствие записи не доказывает отсутствия действия. Чтобы установить, кто выполнил операцию, сопоставляют материалы, учитывая технические учётные записи, фоновые задания, интеграции и использование чужого доступа. Для проверки прав за спорный период сопоставляют историю назначения и изменения полномочий, их состав, ограничения и действие на нужную дату. Одного списка назначенных ролей недостаточно.
Если атака продолжается, её сдерживание не откладывают ради фиксации данных. Сохранение источников согласуют с уполномоченной IT-службой; действия и изменения фиксируют. При первом обращении опишите задачу и перечислите доступные материалы. Передачу, доступ и активные тесты согласуют отдельно; после назначения объекты передают через назначивший орган. Объём проверки ограничен заданием. Если устранение уязвимостей поручают исполнителю исследования, такое задание и проверку результата согласуют отдельно.