La provenienza dell'azione è un'evidenza che mostra quale azione è stata eseguita, quando è avvenuta e come è stata autorizzata. Nei sistemi di sicurezza, collega un'operazione al suo utente, servizio, criterio o flusso di lavoro di origine, e conserva un registro affidabile del percorso di esecuzione. Tale registro può provenire da log firmati, eventi di audit concatenati o decisioni di policy collegate a una richiesta.
È importante perché gli attacchi moderni spesso prendono di mira le azioni, non solo i dati. Un intruso può abusare di un token API, attivare un processo privilegiato o alterare un file tramite un agente automatizzato. Con una forte provenienza dell'azione, i difensori possono ricostruire chi ha approvato l'azione, se erano presenti i controlli corretti e se il registro è stato manomesso. È utile per la risposta agli incidenti, la conformità e il rilevamento di operazioni non autorizzate o ripetute, ma funziona meglio insieme al principio del minimo privilegio, ai flussi di approvazione e a una gestione sicura delle chiavi.