Incidenthantering är arbetet från upptäckt till lösning: bekräfta problemet, larma rätt personer, bestäm vem som leder, informera användarna, återställ tjänsten och lär er sedan av det i en postmortem. Allvarlighetsnivåer, ofta SEV1 till SEV3 eller P1 till P4, avgör hur stor insatsen blir.
En incident är inte samma sak som dess orsak. En enda grundorsak, som en databas som fallerar, kan ge många symtom; en bra process grupperar dem, så att teamet arbetar med en incident, inte tjugo larm.
Kommunikation är en del av arbetet. En uppdatering på statussidan inom några minuter, och fler i en bestämd takt, besparar supporten att svara på samma fråga många gånger.