L'evidenza di audit è l'insieme di registri, osservazioni del sistema e risultati dei test usati per dimostrare che un controllo funziona nella pratica. Nella sicurezza informatica, può includere log, snapshot delle configurazioni, revisioni degli accessi, ticket, schermate, avvisi, risultati delle esercitazioni e registri delle modifiche. Il punto chiave è che l'evidenza mostra non solo ciò che dice una policy, ma ciò che il sistema ha effettivamente fatto.
È importante perché molti fallimenti della sicurezza si nascondono dietro documentazione ben scritta. Gli attaccanti traggono vantaggio quando i controlli esistono solo sulla carta, mentre i difensori usano l'evidenza di audit per confermare che i controlli di monitoraggio, patching, backup e risposta agli incidenti stiano funzionando. Durante un audit, l'evidenza può provenire da controlli live del sistema, campioni di account o tracce registrate di attività sospette. Una buona evidenza è tempestiva, autentica e tracciabile, rendendo più difficile falsare la conformità e più facile individuare controlli deboli.