As evidências tornam as descobertas verificáveis. Um relatório não deve apenas dizer que algo está errado, mas também mostrar em que se baseia essa conclusão.
As evidências podem incluir logs, capturas de tela, saída de comando, dados de configuração ou outros registros. Naturalmente, as informações confidenciais devem ser tratadas com cuidado.
Leia também O que significa segurança baseada em evidências?.