Учётная запись, IP-адрес или имя автора в свойствах документа могут связать событие с техническим контекстом, но сами по себе не устанавливают личность человека. Один аккаунт может использоваться несколькими людьми, программа — выполнять задания автоматически, а устройство — управляться удалённо. Имя в документе иногда переносится из шаблона. Эксперт проверяет идентификаторы в доступных источниках и их согласованность.
Для проверки связи операции с человеком нужны сведения об условиях доступа, устройстве, способе входа, журналах и связанных событиях. Отсутствие следов удалённого управления не всегда исключает такую возможность: нужные источники могли не сохраниться. В заключении отдельно описывают установленную операцию и ограничения вывода об участии человека. Оценку личного участия, умысла и ответственности проводят уполномоченные органы с учётом совокупности обстоятельств. Сообщите, был ли компьютер общим и кто имел доступ в исследуемый период.