Un gap di verifica è lo spazio tra una dichiarazione pubblica su un incidente informatico e i fatti che sono stati confermati in modo indipendente. Si presenta quando un attore malevolo, un post della vittima o un articolo di notizie cita un'organizzazione o descrive un attacco, ma gli investigatori non hanno ancora convalidato il percorso di intrusione, l'impatto o la perdita di dati.
Questo è importante perché le decisioni di sicurezza informatica dovrebbero essere guidate dalle prove. Un ampio gap di verifica può causare una reazione eccessiva, come presumere cifratura, furto o compromissione totale senza prove, oppure una reazione insufficiente, come liquidare troppo presto un incidente reale. I difensori colmano il gap controllando i log di identità, la telemetria degli endpoint, l'attività di rete, i backup e i segnali di esfiltrazione. In pratica, il termine è comune durante i casi di ransomware ed estorsione, in cui il branding pubblico spesso arriva prima della conferma tecnica.