V praxi se začnou sbírat logy z přihlašování, klíčových aplikací a firewallu na jedno místo, nastaví se několik smysluplných upozornění (např. nový admin, přihlášení bez MFA, anomální přístup) a vytvoří se jednoduchý přehled pro vedení se základními trendmi. Časem lze doplnit automatické reakce (dočasné omezení přístupu), ale základem je, aby alerty byly užitečné a vedly k rychlé akci