Una catena di custodia delle prove è il percorso documentato che mostra chi ha raccolto le prove digitali, quando sono state raccolte, come sono state archiviate e ogni volta che hanno cambiato custode. Nella sicurezza informatica, questo registro è essenziale perché log, immagini dei dischi, esportazioni di chat e campioni di malware possono essere contestati se la loro gestione non è chiara.
Una catena di custodia delle prove solida aiuta a dimostrare integrità e autenticità: gli investigatori possono mostrare che un file non è stato alterato, sostituito o contaminato dopo il sequestro. I difensori usano la stessa disciplina nella risposta agli incidenti, eseguendo l'hashing degli artefatti, registrando i timestamp, controllando l'accesso e preservando gli originali prima dell'analisi. Gli aggressori spesso cercano di rompere questa fiducia eliminando i log, inserendo file falsi o costringendo i sistemi a sovrascrivere i dati, quindi una catena di custodia delle prove chiara è ciò che rende credibili le successive attività di analisi forense e le azioni legali.