La provenienza di un file è la sua storia: dove ha avuto origine, chi lo ha creato, quali sistemi lo hanno toccato e se è stato alterato lungo il percorso. Nella sicurezza informatica, la provenienza aiuta a rispondere a una domanda fondamentale di fiducia: questo file può essere considerato lo stesso oggetto che ha lasciato il sistema di origine?
La provenienza è importante perché gli aggressori spesso prendono di mira il percorso che un file compie, non solo il file stesso. Un documento, un programma di installazione o un artefatto forense possono essere sostituiti, riconfezionati o modificati prima di raggiungere un utente o uno strumento di analisi. I difensori usano hash, firme digitali, metadati e registri di audit per preservare e verificare la provenienza. Nei flussi di lavoro di laboratorio e di risposta agli incidenti, una provenienza solida supporta la catena di custodia e rende visibili le manomissioni, così gli analisti possono distinguere le prove originali dagli input alterati o non attendibili.