С привличането на повече клиенти от страна на доставчиците на управлявани услуги за сигурност (MSSP), обемът на регистрираните сигнали за тревога нараства бързо, докато капацитетът на аналитиците обикновено не се променя. Това разминаване се проявява най-напред при първоначалното сортиране (триаж) и реакцията при инциденти.

Екипите губят твърде много време в проверка на индикатори за компрометиране (IOC), превключване между отделни инструменти, възстановяване на контекста и ескалиране на инциденти, които биха могли да бъдат приключени още в начален етап. В рамките на хиляди разследвания тези допълнителни минути водят до забавена реакция и претоварване на ресурсите.