Un trigger di triage è qualsiasi evento che induce un team di risposta agli incidenti ad avviare immediatamente verifiche e controlli di contenimento. Non prova da solo una violazione; invece, aumenta la priorità di un alert o di una segnalazione, così che i difensori possano decidere rapidamente se l'evento sia benigno, sospetto o attivamente dannoso.
Nella sicurezza informatica, i trigger di triage sono importanti perché la velocità conta, ma conta anche l'accuratezza. I trigger comuni includono un elenco pubblico di estorsione, attività di accesso insolita, alert degli endpoint, credenziali trapelate o un improvviso comportamento di cifratura dei file. Una volta attivati, i team in genere conservano i log, controllano l'attività degli account e della rete, esaminano i sistemi esposti e cercano segnali di furto di dati o di movimento laterale. Se usato correttamente, il triage previene sia i ritardi sia le reazioni eccessive: aiuta i difensori a concentrarsi sulle prove, a contenere precocemente le minacce reali e a non trattare affermazioni non verificate come un compromesso confermato.