Η αντιμετώπιση περιστατικών χειρίζεται μια παραβίαση ασφαλείας από την ανίχνευση έως την αποκατάσταση. Η διαδικασία ακολουθεί ένα πλαίσιο: προετοιμασία, αναγνώριση, περιορισμός, εξάλειψη, αποκατάσταση και διδάγματα που αντλήθηκαν. Κάθε φάση έχει τις δικές της προκλήσεις. Η προετοιμασία χτίζει την ομάδα, τα εργαλεία και τα εγχειρίδια στρατηγικής. Η αναγνώριση επιβεβαιώνει ότι ένα περιστατικό είναι πραγματικό, όχι ψευδής συναγερμός. Ο περιορισμός σταματά την εξάπλωση. Η εξάλειψη αφαιρεί την πρόσβαση του εισβολέα. Η αποκατάσταση αποκαθιστά την κανονική λειτουργία. Τα διδάγματα που αντλήθηκαν αποτρέπουν το επόμενο.

Η ταχύτητα έχει σημασία σε κάθε βήμα. Όσο περισσότερο παραμένει ένας εισβολέας στο εσωτερικό, τόσο μεγαλύτερη ζημιά προκαλεί. Ο μέσος χρόνος παραμονής, το χάσμα μεταξύ παραβίασης και ανίχνευσης, έχει μειωθεί με την πάροδο των ετών, αλλά εξακολουθεί να μετράται σε εβδομάδες για πολλούς οργανισμούς. Τα συνεργεία αντιμετώπισης ransomware κινούνται πιο γρήγορα. Αποσπούν δεδομένα και κρυπτογραφούν συστήματα μέσα σε λίγες μέρες. Ένα σχέδιο απόκρισης που χρειάζεται μια εβδομάδα για να ενεργοποιηθεί είναι άχρηστο σε σχέση με αυτό το χρονοδιάγραμμα. Οι καλύτερες ομάδες απόκρισης σε περιστατικά εξασκούνται. Εκτελούν ασκήσεις σε τραπέζια, προσομοιώνουν παραβιάσεις και εξασκούν την επικοινωνία. Γνωρίζουν ποιος καλεί νομικά, ποιος μιλάει στον Τύπο και ποιος διαπραγματεύεται με τον εισβολέα. Όταν συμβαίνει το πραγματικό περιστατικό, δεν το καταλαβαίνουν για πρώτη φορά. Εκτελούν ένα σχέδιο που έχουν εκτελέσει στο παρελθόν.

Φάσεις αντιμετώπισης περιστατικών

• Προετοιμασία — ομάδα, εργαλεία και εγχειρίδια στρατηγικής
• Ταυτοποίηση — επιβεβαίωση και προσδιορισμός του περιστατικού
• Περιορισμός — διακοπή της εξάπλωσης
• Εξάλειψη — κατάργηση της πρόσβασης του εισβολέα
• Ανάκτηση — λειτουργίες επαναφοράς
• Μαθήματα που αντλήθηκαν — βελτίωση για την επόμενη φορά

Η αντιμετώπιση περιστατικών είναι ένα ομαδικό άθλημα. Η τεχνική εργασία είναι μόνο η μισή δουλειά. Η επικοινωνία και ο συντονισμός καθορίζουν το αποτέλεσμα.