Il coordinamento degli incidenti è la gestione organizzata delle persone, della comunicazione e dell'escalation durante un evento informatico. Definisce chi conduce l'indagine, chi approva le misure di contenimento, chi parla con la direzione e quando i problemi vengono inoltrati al reparto legale, alla sicurezza o ai soccorritori esterni. Un buon coordinamento trasforma avvisi sparsi in un unico piano di risposta.
È importante perché molti attacchi peggiorano quando i team agiscono in parallelo senza una catena di comando condivisa. Ransomware, furto di dati e interruzione del servizio possono tutti richiedere decisioni rapide su isolamento, reimpostazione delle password, conservazione delle prove e comunicazioni pubbliche. Nella difesa, il coordinamento degli incidenti appare nei playbook, nei bridge di incidente, nei flussi di lavoro dei ticket e nei team di crisi che mantengono allineati registri, timestamp e ruoli. Negli attacchi, un coordinamento debole si manifesta spesso come escalation ritardata, istruzioni contrastanti o prove perse.