L'intelligence delle forze dell'ordine è un'informazione rilevante per la sicurezza condivisa dagli investigatori che può aiutare i difensori a ridurre il rischio prima che un attacco sia pienamente confermato. Può descrivere un presunto attore della minaccia, una finestra di targeting imminente, un indicatore di infrastruttura o un prodotto vulnerabile sotto osservazione attiva. A differenza di un avviso pubblico su una vulnerabilità, queste informazioni spesso arrivano presto e possono essere incomplete, ma possono comunque essere abbastanza credibili da giustificare un'azione.
Nella sicurezza informatica, questo è importante perché a volte i difensori devono rispondere prima che vi sia un exploit verificato o un compromesso visibile. I team possono usare l'intelligence per rafforzare i controlli di accesso, aumentare la registrazione dei log, isolare i sistemi esposti, ruotare le credenziali o persino mettere temporaneamente offline un servizio. In incidenti reali, l'intelligence delle forze dell'ordine può rivelare che è probabile che una piattaforma venga presa di mira, dando alle organizzazioni il tempo di contenere l'esposizione. La sfida principale è bilanciare cautela ed evidenze: agire troppo tardi può lasciare i sistemi esposti, mentre agire troppo presto può interrompere le operazioni. I buoni piani di risposta agli incidenti presuppongono che l'intelligence possa arrivare prima delle prove.