L'auditabilità forense è la capacità di ricostruire cosa ha fatto un sistema dopo un incidente usando log, telemetria, registrazioni di configurazione e altre prove preservate. Nella sicurezza informatica, significa che gli investigatori possono risalire alle azioni fino a utenti, processi, dispositivi o versioni software specifici invece di limitarsi a ipotizzare in base ai soli sintomi. Una forte auditabilità trasforma un evento da un mistero in una sequenza che può essere esaminata, testata e spiegata.
Questo è importante per la risposta agli incidenti, la conformità e la responsabilità, soprattutto in sistemi ad alto rischio come piattaforme autonome, infrastrutture critiche e servizi cloud. I difensori la migliorano con registrazione immutabile, timestamp sincronizzati, modifiche di configurazione firmate, dati di sensori e controllo conservati e un controllo rigoroso degli accessi ai record di audit. Gli attaccanti spesso cercano di comprometterla eliminando i log, alterando le fonti di tempo o manomettendo firmware e telemetria, in modo che il comportamento originale non possa essere ricostruito.