La conservazione delle prove digitali è il processo di mantenere intatti i record elettronici in modo che possano essere ancora utilizzati in seguito in un'indagine o in un procedimento giudiziario. Nella sicurezza informatica, questo è importante perché log, messaggi, file, record cloud e dati dei dispositivi possono scomparire rapidamente a causa di limiti di conservazione, eliminazione da parte dell'utente, rotazione del sistema o manomissione.
Negli incidenti reali, la conservazione aiuta gli investigatori a acquisire i record degli account, i log dei server, la cronologia delle chat, gli screenshot e i metadati prima che scadano o vengano sovrascritti. I difensori usano flussi di lavoro di conservazione, blocchi legali e copie sicure per mantenere l'integrità e supportare la catena di custodia. Gli attaccanti spesso cercano di vanificare questo cancellando le tracce, cancellando i dispositivi o usando account di breve durata, quindi una conservazione rapida può fare la differenza tra un caso utilizzabile e prove perse.