Точность определения времени зависит от сохранившихся сведений. Свойства файла содержат временные отметки: они могут относиться к созданию на этом носителе, изменению содержимого или другим операциям. Копирование, восстановление из архива и работа программы могут менять часть отметок. Для проверки времени операций с отдельным файлом подходит экспертиза обстоятельств его создания и использования.
Эксперт сопоставляет метаданные, журналы, переписку и резервные копии, учитывает часовые пояса, точность записи и расхождение часов. Иногда определяют лишь интервал или порядок событий. Отсутствие записи об удалении не доказывает, что удаления не было: запись событий могла быть выключена, а журнал — перезаписан. Подготовьте спорные версии, относящиеся к ним источники и сведения о получении копий. Если источники расходятся, эксперт проверяет причины и указывает степень определённости ответа.