調査対象機器の「アプリケーションがいつインストールされたのか」「フォーマットがいつ行われたのか」「利用していたユーザーアカウントはなにか」などを確認。 これにより「調査直前にデータ消去を試みた」などの行動履歴が判明する可能性があります。

調査対象パソコンで、最近開いたファイルの履歴を確認し、問題となりうるファイルに対する履歴が存在するか否かを確認。また、すでに実際のファイルが存在しない場合でも、開いた履歴が存在する場合「最後に開いたのは何時だったのか」などの履歴情報を得ることができます。

調査対象パソコンに対して､USBメモリや外付けハードディスクなどの外部接続機器の接続履歴を調査します。さらに「ファイルを不正にUSB機器に書き込んだ形跡などはないか」 なども確認。また「調査対象とすべきUSB機器は他にないのか」などの確認も行います。

調査対象パソコンからインターネット上のストレージサービスや社内サーバ上のファイルに行ったアクセス履歴などを確認。問題となる行動がなかったかどうか調べます。これにより「社内サーバの重要なファイルにアクセスした事実」などが判明する場合があります。

調査対象サーバーやパソコンで実行されたプログラムを、コマンドヒストリーやレジストリなどの情報を参照して確認。これにより「不審なプログラムが実行されていないか」「最終実行日時はいつか」「実行回数はどのくらいか」などを調査します。

ユーザーが削除したファイルのファイル名、削除した日時を調査することで、権限のないファイルの利用状況や不自然に削除されたファイルがあるか、ないかなどを確認することができます。

ファイル内のデータなどに対して検索を行うことができるため、実際にファイルを開かなくとも、「業務情報を含むファイルの抽出（有効なキーワードを指定していただく必要があります）」「過去に存在した業務文書の痕跡」などを確認することができます。

パソコン内にあるすべての項目をリスト化。これにより、権限のないファイルの利用状況、特定期間に更新されているファイルなどを一覧で確認することができます。

Firefox（ファイアフォックス）、Chrome（クローム）などのブラウザの履歴から接続先を調査。これにより、Webメールによる情報の持ち出しなどがあったかどうか判明する場合があります。

関連情報に記録されている「作成日時」と「作成者」などの情報を調査。これにより、社内の機密を漏えいしようとしたのかどうかを調べることができます。