Niet alle waarschuwingen brengen hetzelfde risico met zich mee.
Een ongebruikelijke verbinding op een desktopcomputer heeft niet per se dezelfde impact als een ongebruikelijke verbinding op:
- een domeincontroller;
- een financiële server;
- een klantendatabase;
- een industrieel systeem;
- een back-upserver.
Het SIEM-systeem moet daarom het concept van kritikaliteit integreren.
Een waarschuwing kan worden verbeterd met:
- de cruciale rol van het object;
- de identiteit van de gebruiker;
- het niveau van privilege;
- de locatie;
- het IP-adres;
- dreigingsinformatie;
- de geschiedenis van gedrag.
Dit maakt een betere inschatting mogelijk van gebeurtenissen die onmiddellijke interventie vereisen.