В вопросе указывают схему развёртывания, версию, базу и коллекцию, документ или критерий, период и часовой пояс. Можно спросить, какие изменения объекта отражены в oplog, охватывает ли резервная копия нужный момент, имеются ли признаки отката, какие действия записаны в журнале аудита, согласованы ли снимки серверов конфигурации и всех шардов, исключены ли пропуски и дубли, полностью ли перенесены документы и индексы.
Вместо «кто взломал базу?» формулируют наблюдаемую задачу: какие представленные источники отражают операцию X, какое имя пользователя, какое соединение, какой адрес и какие метаданные приложения с ней связаны. Вопросы виновности, умысла и правовой квалификации эксперт не решает. До назначения полезно проверить, существуют ли нужные источники и входит ли период в окно oplog и срок хранения других журналов.