Poikkeavuuksien havaitsemisjärjestelmien tuottamat hälytykset. Tähän kuuluu sääntöjen asettaminen seuraaville:

• luokitella hälytykset kriittisyystason mukaan (esim. korkea, keskisuuri, matala).
• ottaa huomioon työajat ja työajan ulkopuoliset ajat

käyttää kontekstia, kuten esim:

• Mitkä järjestelmät ovat kyseessä (esim. kriittiset tuotantojärjestelmät).
• Odotukset ratkaisuun kuluvasta ajasta
• Aikaisempi tapahtumahistoria

Hälytysten priorisoinnilla varmistetaan oikea-aikainen ja oikeasuhteinen reagointi ja vähennetään hälytysväsymystä. Priorisointisääntöjä olisi tarkistettava ja hienosäädettävä säännöllisesti.

Usein turvallisuustyökalut tarjoavat tavan asettaa hälytyksiä (alert policies), kun organisaation ympäristössä tapahtuu jotain mahdollisesti vaarallista. Esim. Microsoft 365 -ympäristössä on sisäänrakennettuja hälytyskäytäntöjä, jotka pyrkivät varoittamaan pääkäyttäjäoikeuksien väärinkäytöstä, haittaohjelmista, mahdollisista sisäistä ja ulkoisista riskeistä sekä riskeistä tietoaineistojen turvallisuudelle.

Organisaation on tunnistettava tietoturvaan liittyvät tapahtumat tietojärjestelmissä sekä niiden toimintaan liittyvissä ympäristöissä. Näihin tapahtumiin liittyviin muutoksiin reagoimiseksi on luotava hälytyskäytännöt.

Hälytyskäytäntöjä on valvottava aktiivisesti ja niitä on muokattava kokemuksen perusteella.

Organisaation on oltava selvillä eri tietojärjestelmien käytöstä kertyvistä tapahtumalokeista, olipa lokien tuottaminen omalla tai järjestelmätoimittajan vastuulla. Lokeihin tallentuvat käyttäjien suorittamat toiminnot sekä tapahtuneet poikkeamat, virheet ja tietoturvatapahtumat.

Kertyvän lokin riittävyyttä on katselmoitava säännöllisesti. Lokin avulla pitäisi tarvittaessa pystyä selvittämään järjestelmään liittyvät häiriötilanteet ja niiden syy.