Экспертиза может выявить технические следы доступа, копирования, удаления и передачи корпоративной информации. Например, исследуют наличие документов на внешнем накопителе, журналы приложения и доступные сведения о пересылке. События проверяют по отдельности и сопоставляют: подключение флешки или вход под аккаунтом сотрудника ещё не подтверждают передачу конкретных файлов. Полнота ответа зависит от сохранённых источников и действовавших настроек записи событий.
Само техническое исследование не устанавливает промышленный шпионаж, недобросовестную конкуренцию, кражу или личную виновность сотрудника. Правовую оценку дают уполномоченные органы, учитывая режим доступа, документы организации и другие обстоятельства. Подготовьте перечень спорных данных, период, устройства и сведения о том, кто мог ими пользоваться. Исследование информационной безопасности поможет отдельно оценить технические условия доступа и защищённость. Материалы с персональными данными и сведения о служебных аккаунтах исследуют на законном основании и в заранее определённом объёме.