Una soglia di segnalazione è la condizione che rende un evento di sicurezza legalmente o operativamente segnalabile. Può essere definita da una legge, da un regolamento, da un contratto o da una politica interna, e di solito dipende da fattori come l'impatto, l'ambito, l'esposizione dei dati, l'interruzione del servizio o il grado di certezza che un incidente sia realmente avvenuto.
Nella sicurezza informatica, le soglie contano perché controllano ciò che viene escalato, documentato e condiviso con le autorità o con le parti interessate. Una soglia bassa può far emergere più eventi e migliorare la visibilità, ma può anche aumentare il rumore e il carico di lavoro. Una soglia alta può ridurre i falsi allarmi, ma può ritardare la risposta o nascondere una compromissione significativa. Gli aggressori sfruttano questa lacuna confondendosi con attività a bassa gravità, mentre i difensori usano il triage, la raccolta delle prove e regole decisionali chiare per stabilire quando un allarme diventa un incidente segnalabile. Un buon progetto della soglia aiuta le organizzazioni a confrontare gli incidenti in modo coerente e a spiegare in seguito le proprie decisioni.