Тут сложно все. Наверное нужно:

• дата
• кто обнаружил или сообщал и при каких обстоятельствах. Например в ходе мониторинга, интервью, аудита.
• описание инцидента. Что произошло и импакт. К чему привело или могло привести.
• В какой системе, рабочей станции, сервере. DNS имя, IP-адрес, MAC-адрес. Неизвестное устройство, какие порты открыты, сервисы, протоколы, предположения.
• Что было сделано для предотвращения или рекомендации.
• Логи, сырое событие, любая дополнительная информация.

А средство кибербез не выдает документ о событии? Наш выдает любые отчеты DLP,SIEM,IDS,DRC,WAF