Il triage è il processo iniziale usato per valutare rapidamente se una segnalazione di sicurezza, un avviso o una richiesta di estorsione sia credibile e urgente. Si concentra su tre domande: cosa è esposto, quanto ampiamente il problema può diffondersi e se è necessario un intervento immediato. Nella sicurezza informatica, il triage aiuta i team a evitare di perdere tempo nel rumore di fondo, senza però mancare i veri incidenti nelle fasi iniziali.
Durante una richiesta di riscatto o un evento sospetto, il triage di solito significa controllare i log, gli avvisi degli endpoint, gli inventari degli asset e l'impatto sul business per confermare se ci sono segnali di accesso non autorizzato, crittografia, furto di dati o interruzione del servizio. Non sostituisce un'indagine completa; serve a restringere il problema in modo che i difensori possano dare priorità al contenimento, all'escalation e alla comunicazione. Un buon triage aiuta a distinguere un indizio di minaccia da una compromissione confermata e riduce il rischio di reagire troppo o troppo poco.