Case background
案件背景
某创新药物研发企业发现前员工离职前删除了大量关键工作文件与研发成果，影响在研项目推进。由于电子数据删除行为隐蔽，且系统时间可能被人为修改，企业难以自行举证，遂委托奇安信洞鉴开展司法鉴定，核验删除行为及相关时间线。
企业内控合规治理上海盘石洞鉴
离职员工恶意删除文件案
综合文件系统记录、系统事件、账号登录和设备活动，还原离职前批量删除关键文件的行为与时间线。
Forensic approach
鉴定路径
系统活动溯源
提取开关机、账号登录、USB 设备接入和事件日志，构建系统活动时间线。
文件系统记录分析
解析 NTFS 文件系统中的相关元数据和日志记录，筛查文件创建、修改、删除及目录变更事件。
删除事件筛查
定位关键研发文件与工作文档的删除记录，提取删除时间、文件路径和关联记录。
多源交叉验证
将文件系统记录与事件日志、账号活动、设备使用和离职节点交叉核验，减少单一时间源造成的偏差。
Case value
案例价值
- 核验批量删除行为及关键文件范围
- 形成可复核的删除事件与系统活动时间线
- 为企业追索损失和完善权限、审计、备份机制提供依据
Case FAQ
案例相关常见问题
电脑文件被删除后，能查到删除时间和操作线索吗？
可以。奇安信洞鉴可分析 NTFS 文件系统记录、系统事件、账号登录和设备活动，定位文件删除时间、路径及相关操作线索，并形成可复核的鉴定结果。
对方质疑电脑系统时间被修改，删除记录还有价值吗？
有价值。鉴定不会只依赖一个时间字段，而是将文件系统记录与开关机、账号登录、事件日志、USB 使用等多类数据交叉验证，从而提高删除时间线的可靠性。
离职员工删除公司文件，司法鉴定能帮助企业维权吗？
可以。电子数据司法鉴定能够固定删除行为、关键文件范围和相关时间线，为劳动仲裁、民事诉讼、刑事报案及损失追索提供专业技术证据。
