縱觀電子數據在線索發現和證據鏈的運用，時間是一個不可或缺的關鍵要素，它體現每個獨立事件的發生時刻，呈現了事件發展的軌跡，就像散落一地的手串，把珠子撿起再串起來，而時間就是那個串珠子的人。用時間把所有獨立事件連接起來，線索會變得更清晰，證據鏈會變得更加立體。
根據2020年ACFE全球職務舞弊調查報告統計，舞弊行為從開始到被發現的持續時間中位值為14個月，舞弊行為給各類組織帶來的損失約為全年總收入的5%。
預計2019年世界生產總值90.52萬億美元，全球職場舞弊導致的損失高達4.5萬億美元。
報告指出，舞弊手段向電子支付和科技型業務發展，其中提到舞弊人員最常用的四種隱瞞方法，就包括了更改電子文檔（占比27%）和偽造虛假的電子文件（占比26%），高管傾向于采用“修改文檔“的手段來掩飾行為，普通員工則傾向于“新建或刪除文檔”的手段來自證清白。從舞弊者的職務層級可以看出舞弊行為的不同特點。不論是采用修改文檔、或是新建刪除文檔，這些行為通通都是“Fake ”。
造假的行為總是有跡可循的。
兩個物體接觸，相互產生作用，必然會產生聯系。行為人（犯罪嫌疑人或舞弊人員）必然會帶走一些東西，亦會留下一些東西，即現場必會留下微痕跡。——《羅卡定律》
電子數據是電子物證在網絡空間的自然延伸，羅卡定律同樣適應用于網絡空間。行為人對文檔的任意增刪改均會留下相應的痕跡。時間是現場的沉默證人，他安靜地記錄著舞弊行為現場，等待著調查人員細心的發掘。
那么，時間都在哪啊?
文件時間
文件的時間屬性包括文件的創建時間、修改時間和訪問時間等，也稱為文件時間戳或文件MAC時間。文件時間屬性是由計算機系統時間決定的,在系統中，系統時間包括基于格林威治標準時間的UTC( Time)時間和本地時間兩個概念。其中本地時間是通過UTC時間和系統時區設置計算得出的。
創建時間，指的是文件在某個路徑（文件夾）下生成的時間。這種“生成”，既可以是新建一個文檔并開始編輯修改文件屬性詳細信息，還包括從別的文件夾下拷貝到此處。修改時間，指的是打開該文件并進行編輯和保存修改變化的時間。更準確的說，應稱為最后一次修改時間。換而言之，文件最后一次的修改變化體現在文件現有內容上，而之前的歷次修改并不能有效反映出來。因此，我們在日常的文件屬性中經常遇到如下場景：
01
文件的修改時間比創建時間晚，該文件在此處新建后編輯修改過或從別處拷貝后再修改。
02
文件的修改時間比創建時間早，這文件一般是從別處拷貝過來，之后再無修改。
是終端電腦的主流操作系統，NTFS分區是主流分區格式。所以我們后面的測試都是基于 10 NTFS格式進行測試。除了創建時間和修改時間，還有訪問時間，這個時間字段我們很少用到，參考意義不大，主要是因為某些文件存在高頻率編輯修改，比如元數據文件、日志文件、數據庫文件等這些文件，一旦開啟訪問時間更新會極大占用系統資源， NTFS 分區本身是支持更新,在 2000,XP,2003中默認是開啟的，Vista之后需要單獨開啟。訪問時間一般會跟隨著修改時間的變化而改變，但是這個過程并非絕對，我們也有發現訪問時間晚于修改時間的情況，說明了有些文件的訪問時間還是有獨立更新。（以下截圖都是基于 10 NTFS分區測試）
壓縮文檔時間
當遇有壓縮文件時，雙擊文件，通過預覽能看到其中對象文件的修改時間，不包含創建時間。當把壓縮文件包解壓后，釋放出來的文件對象，其創建時間是當前時間，一般不具有參考性，而修改時間保持不變。
文檔屬性
(Word & Excel & PPT)等文件，除了右鍵點擊所能看到的常規文件均具備的“文件屬性”之外，還有一個重要的參考屬性。右鍵點擊“屬性”，在彈出的對話框里選擇“詳細信息”標簽項。如下圖所示。
郵件相關時間
郵件里有郵件收發時間，郵件頭還記錄了郵件流轉各個節點的時間。
百度網盤時間
文件上傳到百度盤的修改日期是正確的,但從百度盤下載到本地時，修改時間卻發生了變化，變成了下載時間，而MD5哈希值都是一樣的，說明內容沒有變化。
時間在流逝，各類時間有可能會因為操作不當而發生改變，那么怎么保證時間的原始性呢？最簡單快速的辦法就是發現文件或各類痕跡、日志時，馬上截圖或拍照。或者，可以直接在原材料現場歸檔，保存在移動存儲設備上，壓縮軟件可以保留精準的修改時間。這不是最好的辦法，這種截圖、拍照、歸檔的方式只適合于內部使用，如果要用于司法訴訟修改文件屬性詳細信息，還是強烈建議使用專業的鏡像制作設備，完整復制所有比特數據。