La validazione delle prove è il processo di verifica di log, artefatti forensi e altri registri affidabili prima di accettare una dichiarazione sull’impatto di un incidente informatico. Aiuta a distinguere i risultati verificati - come l’accesso confermato a file specifici - dalle affermazioni che non sono state corroborate in modo indipendente.
Nei casi di ransomware, gli autori delle minacce possono affermare di aver rubato dati o pubblicare un elenco della vittima per esercitare pressione. Queste sole dichiarazioni non dimostrano che vi siano stati accesso o esfiltrazione. I difensori dovrebbero conservare i log pertinenti, esaminare i registri delle identità e degli accessi ai file e confrontare i risultati tra le fonti disponibili. Una validazione chiara favorisce una definizione accurata dell’ambito dell’incidente e aiuta le organizzazioni a comunicare ciò che è noto, ciò che è stato dichiarato o ciò che è ancora incerto.