L'evidenza verificabile è un'informazione che può dimostrare che un controllo di sicurezza è stato implementato e che esiste o opera come previsto. Tra gli esempi figurano i registri delle verifiche degli accessi, la cronologia delle configurazioni, i risultati dei test, i registri degli incidenti e le approvazioni. Un'evidenza utile è riconducibile a un controllo specifico, sufficientemente aggiornata e disponibile per la revisione.
È importante perché le politiche descrivono le aspettative, mentre le evidenze aiutano a mostrare ciò che avviene nella pratica. Nell'ambito della garanzia della sicurezza e della conformità, le organizzazioni possono usare le evidenze per valutare l'efficacia dei controlli, individuare lacune e dimostrare la supervisione. Le evidenze dovrebbero essere raccolte e conservate tramite processi ripetibili, con responsabilità chiare e adeguate protezioni contro le alterazioni o gli accessi non autorizzati. Un documento da solo non dimostra che un controllo stia funzionando; la convalida può richiedere registrazioni operative o test.