La verifica dell'esito è la pratica di controllare se una policy, un controllo o una misura di sicurezza produca davvero il risultato reale previsto. Va oltre la lettura di una regola o la verifica che un'impostazione sia abilitata: la domanda è se il controllo riduca il rischio, blocchi gli abusi o migliori la risposta nella pratica. Nella sicurezza informatica, questo è importante perché un controllo può sembrare valido sulla carta ma fallire in condizioni reali.
Gli attaccanti sfruttano il divario tra policy ed esito prendendo di mira un monitoraggio debole, un'applicazione configurata male o controlli che non vengono mai testati. I difensori usano la verifica dell'esito tramite audit, esercitazioni di red team, taratura degli avvisi e revisioni post-incidente per confermare che le misure di protezione funzionino come previsto. Ad esempio, un filtro phishing è utile solo se riduce in modo misurabile i tentativi andati a buon fine, e una policy di accesso conta solo se l'accesso non autorizzato viene effettivamente impedito. La verifica dell'esito trasforma la sicurezza da ipotesi in evidenza.