Un incident est déclenché en cas de faille de sécurité ou d’interruption de service. Du point de vue de l’analyse, un incident commence par la découverte, dans l’index des événements, d’un motif potentiellement pertinent pour la sécurité ou le fonctionnement du système d’une entreprise. Lorsqu’un motif suspect est découvert, une entrée appelée événement notable est générée et identifiée à l’aide d’un code de suivi d’événement.