La combinazione è la fase di gestione della conoscenza SECI in cui la conoscenza esplicita viene raccolta, riorganizzata e integrata in una nuova forma utilizzabile. L'input è già scritto o strutturato, come report, log, procedure, indicatori di compromissione o documenti di policy. Il valore di questa fase deriva dal ricombinare record separati in qualcosa di più facile da cercare, confrontare e utilizzare.
Nel campo della sicurezza informatica, la combinazione è importante perché i difensori uniscono costantemente prove provenienti da più fonti: avvisi SIEM, telemetria degli endpoint, feed di intelligence sulle minacce, inventari degli asset e ticket degli incidenti. Se eseguita bene, favorisce un rilevamento, un triage e una risposta migliori, trasformando fatti dispersi in informazioni operative. Anche gli attaccanti usano un'idea simile quando combinano dati trapelati, registri pubblici e documentazione interna per creare esche di phishing o mappare l'ambiente di un bersaglio. Controlli adeguati come la classificazione dei dati, il tracciamento della provenienza e le restrizioni di accesso aiutano a garantire che la combinazione migliori la sicurezza invece di diffondere informazioni sensibili.