Kun hommat rullaavat hyvin ja järjestelmät toimivat, ei lokeja paljoa kaipaile. Kun tietoturvahäiriö tapahtuu, on asian tutkiminen pystyttävä kuitenkin aloittamaan jostain. Tällöin yleensä sukelletaan tapahtumalokien syövereihin, jotta saadaan tarkempia tietoja mitä tapahtui, missä ja milloin. Jos asiat menevät pieleen, meidän pitää pystyä selvittämään tilanne sekä viestiäksemme siitä viranomaisille, esimerkiksi loukkauksen kohteena olleille ihmisille tai vain selvittääksemme tilanteen itse, jotta pystymme tekemään korjaukset, jotka estävät saman tilanteen jatkossa.

Tietosuoja-asetus vaatii tietoturvaloukkauksesta melko kattavaa informointia 72 tunnin sisällö sen ilmitulosta. Tilanne on usein kaikkein huonoin, mikäli emme ole pystyneet edes havaitsemaan ongelmaa, joka onollut olemassa jo pitkään. Tämäkin siis vaatii meitä omaamaan lokeja tietojärjestelmissä. Usein lokin tekninen toteuttaminen voi olla järjestelmän toimittajan hoitamaa, mutta vastuullamme on tietenkin valita käyttöön fiksuja järjestelmiä, joissa lokit ovat kunnossa, ja lisäksi huolehtia tämä itse kehittämissänne tai teille räätälöidyissä tietojärjestelmissä. Mitä tärkeämmistä tiedoista on kyse, sitä enemmän lokilta on vaadittava ja sitä tiuhemmin lokeja on katselmoitava.

Myös yltiöpäinen lokitus voi johtaa ongelmiin. On syytä pohtia, mitä lokiin on tarpeen tallentua ja miten pitkään lokin tietoja säilytetään, jottei kerätä turhaa tietoa tai ajauduta huomaamatta kapasiteettiongelmiin. Jos lokeja ei katselmoida tai sinne kertyy liikaa epämääräistä höhää, josta ei eroteta normaalia käyttöä ongelmista, on loki melko hyödytön.