Event — любое наблюдаемое явление в логах; incident — событие(я), требующие response из‑за реального/вероятного вреда CIA. Операционно: playbook эскалации по корреляции, impact и confidence, иначе SOC тонет в шуме.
Разбор
- Много failed logins с одного IP — event; успешный доступ + exfil — incident.
- Severity matrix заранее согласована с бизнесом.
- Автоматизация tier-1 снижает MTTR.
- Документируйте rationale эскалации.
Итог
Incident = event с подтверждённым/вероятным security impact.