La prova documentale è l'insieme dei registri che mostrano come un sistema è stato controllato, supervisionato, approvato o riesaminato. Nella sicurezza informatica e nella conformità, questo può includere log, ticket di modifica, approvazioni degli accessi, tracce di audit, registri di approvazione, politiche di conservazione e report di incidenti. Il valore di questi registri non è solo amministrativo: forniscono evidenza che i controlli di sicurezza esistevano ed erano effettivamente utilizzati.
È importante perché molti attacchi lasciano dietro di sé una disputa. Dopo un pagamento indotto da phishing, un'istruzione deepfake o una decisione automatizzata andata storto, le organizzazioni possono dover dimostrare chi ha autorizzato un'azione, se un essere umano l'ha riesaminata e se il sistema ha seguito la policy. I difensori usano la prova documentale per ricostruire gli eventi, convalidare il monitoraggio e dimostrare la dovuta diligenza. Senza di essa, un'azienda può avere controlli nella pratica ma nessun modo affidabile per mostrarli in seguito.