La verifica interna è il processo con cui si controllano i sistemi e le prove dell’organizzazione per determinare se un evento di sicurezza segnalato corrisponda a un’intrusione reale e che cosa, se qualcosa, sia stato interessato. Può includere l’esame dei log di autenticazione e degli endpoint, l’analisi dei percorsi di accesso, la ricerca di trasferimenti di dati insoliti e l’individuazione dei record esposti o consultati.
È importante perché le dichiarazioni pubbliche, come l’inserimento di una vittima nell’elenco di un gruppo ransomware, non dimostrano di per sé che vi sia stata una violazione o un furto di dati. I team di sicurezza ricorrono alla verifica interna per distinguere un’affermazione non verificata da un incidente confermato, determinarne la portata e scegliere una risposta adeguata. Prima di concludere che i dati o le operazioni siano stati interessati, i risultati dovrebbero essere documentati e valutati insieme alle altre prove.