Рано или поздно, но Вы услышите вот такую фразу.

Я этого не делала.

Совершенно не обязательно, что человек нагло врет. Просто может забыл. Вот при решении этих задач может помочь монитор пользователей. Он очень быстро оживит память.

После его запуска, если у Вас установлены пользователи, то Вас спросят пароль. Нас интересует журнал регистраций.

Вот в этом журнале и находится информация кто когда регистрировался. А самое главное кто и что делал.

Обратите внимание, что есть информация об имени компьютера, с которого происходило подключение. Вот тут-то Вы и сможете найти ответы на многие подобные вопросы.