Il bias di preservazione è la tendenza di alcuni materiali, registri o prove a conservarsi meglio di altri. Ciò che rimane non è sempre un campione equo di ciò che esisteva originariamente; è influenzato da durabilità, ambiente, manipolazione e tempo. In archeologia, questo può significare che la pietra si conserva mentre il legno deperisce. Nelle indagini digitali, lo stesso concetto si applica ai log, alla memoria, ai backup e agli artefatti su disco: alcune tracce persistono, mentre altre svaniscono rapidamente.
Nella sicurezza informatica, il bias di preservazione è importante perché può distorcere le conclusioni. Gli aggressori possono eliminare i log, cancellare i file temporanei o usare tecniche volatili, in memoria, che lasciano poco o nulla dietro di sé. I difensori ricostruiscono quindi gli eventi a partire da ciò che è sopravvissuto, come i log di autenticazione, la telemetria degli endpoint o i metadati di rete. Questi dati sopravvissuti possono essere estremamente preziosi, ma possono sovrarappresentare alcune azioni e trascurarne del tutto altre. Comprendere il bias di preservazione aiuta gli analisti a evitare un'eccessiva sicurezza, a confrontare le fonti di prova e a considerare l'assenza di evidenze come un problema dei dati, non come la prova che non sia accaduto nulla.