La prova del danno è l'evidenza che mostra che un danno si è realmente verificato e spiega in che modo è avvenuto. Nella sicurezza informatica, può includere registri di sistema, timestamp, file modificati, registrazioni di esfiltrazione, schermate, rapporti di interruzione del servizio e documenti finanziari. Non basta affermare che si è verificato un attacco; spesso gli investigatori devono dimostrare l'impatto, la sequenza temporale e il nesso tra l'intrusione e la perdita.
Questo è importante perché la responsabilità, le richieste di risarcimento assicurativo, la risposta agli incidenti e la segnalazione normativa spesso dipendono dalla dimostrazione di un danno reale. In un caso di ransomware, la prova può mostrare sistemi crittografati, operazioni interrotte e furto di dati. In una violazione dei dati, può mostrare quali record sono stati consultati e se sono stati esposti. I difensori rafforzano la prova preservando i registri, mantenendo i backup, documentando le azioni intraprese e conservando la catena di custodia, in modo che l'evidenza resti affidabile in tribunale o in una revisione interna.