Un incidente di cybersicurezza è qualsiasi evento che interrompe, degrada o minaccia sistemi digitali, dati o operazioni. Può variare da un accesso sospetto a un'interruzione completa che blocca funzioni aziendali come l'elaborazione degli ordini, la spedizione o l'autenticazione. Non ogni incidente è una violazione confermata, ma ogni incidente segnala che i normali controlli di sicurezza o di disponibilità sono stati compromessi.
Negli attacchi reali, gli incidenti possono coinvolgere malware, credenziali rubate, ransomware, errori di configurazione o un guasto in un servizio di terze parti. I difensori trattano gli incidenti con serietà perché l'impatto è spesso prima operativo e poi forense: i sistemi possono essere indisponibili prima che la causa principale sia nota. La risposta di solito include il contenimento, la revisione dei log, il ripristino dai backup e la pianificazione della continuità operativa per mantenere attivi i servizi essenziali mentre il problema viene analizzato.