単なる「データ復旧」との決定的な違い

隔離保管したデジタルデバイスから、不正の客観的な事実を抽出する技術が「デジタル・フォレンジック（Digital Forensics）」です。法執行機関の犯罪捜査でも用いられるこの技術は、しばしば一般的なITベンダーが提供する「データ復旧サービス」と混同されがちですが、両者は目的も手法も根本的に異なります。
データ復旧サービスは、水没や論理障害などで「見えなくなったデータを取り戻すこと」を目的としており、取り出したデータが法的に有効な証拠として認められるかどうか（証拠保全の手続き）は考慮されていません。
対してデジタル・フォレンジックは、不正調査や法的紛争・訴訟を前提とし、「データの完全性を維持したまま証拠を保全・復元し、誰が、いつ、どのような不正を行ったのかを法廷で証明できるレベルで解析・報告すること」を目的としています。データの改ざんがないことを数学的に証明する仕組み（ハッシュ値の照合）など、厳密な手続きに則って進められる点が決定的な違いです。

削除されたデータや隠蔽工作を暴き出す高度な解析技術

不正行為者は、自身の痕跡を消すためにメールを削除し、不正経理のExcelファイルを消去し、さらには証拠隠滅用のデータ抹消ソフトを使用することもあります。しかし、高度なデジタル・フォレンジック技術を用いれば、彼らが「完全に消し去った」と信じているデータの断片から、真実をパズルのように組み上げることが可能です。
例えば、カスタムカービングと呼ばれるデータ復元技術を用いれば、ファイルのインデックス（目次）が消去されていても、ハードディスク内のセクタ（データの最小単位）を直接スキャンし、残存している文字列やファイル構造の特徴から、削除されたメールの本文や添付ファイル、改ざん前のドキュメントを復元できます。
また、レジストリ解析やイベントログ解析によって、「何月何日の何時何分に、特定のシリアルナンバーを持つ個人のUSBメモリが接続され、どのファイルが持ち出されたか」といった行動履歴を分単位で特定することも可能です。さらに、Webブラウザの閲覧履歴やキャッシュ、一時ファイル（Prefetchファイルなど）を解析することで、従業員が勤務時間中に密かに個人のWebメールにアクセスし、キックバックの交渉を行っていた痕跡を復元し、不正の動機と実行のプロセスを時系列（タイムライン）で完全に丸裸にすることができるのです。