Az incidensre való reagálás a biztonsági incidenst az észleléstől a helyreállításig kezeli. A folyamat egy keretrendszert követ: előkészítés, azonosítás, elszigetelés, felszámolás, helyreállítás és a tanulságok levonása. Minden fázisnak megvannak a maga kihívásai. Az előkészítés építi a csapatot, az eszközöket és a forgatókönyveket. Az azonosítás megerősíti, hogy az incidens valós, nem pedig téves riasztás. Az elszigetelés megállítja a terjedést. A felszámolás megszünteti a támadó hozzáférését. A helyreállítás visszaállítja a normál működést. A tanulságok segítenek megelőzni a következőt.

A gyorsaság minden lépésnél számít. Minél tovább marad a támadó a rendszerben, annál nagyobb kárt okoz. Az átlagos tartózkodási idő, azaz a behatolás és az észlelés között eltelt idő az évek során csökkent, de sok szervezetnél még mindig hetekben mérhető. A zsarolóvírus-kezelő csapatok gyorsabban dolgoznak. Napokon belül kiszivárogtatják az adatokat és titkosítják a rendszereket. Egy olyan reagálási terv, amelynek aktiválása egy hetet vesz igénybe, haszontalan ehhez az időkerethez képest. A legjobb incidens-elhárító csapatok gyakorolnak. Asztali gyakorlatokat tartanak, szimulálják a behatolásokat és gyakorolják a kommunikációt. Tudják, ki hívja a jogi osztályt, ki beszél a sajtóval, és ki tárgyal a támadóval. Amikor megtörténik az igazi incidens, nem először jönnek rá. Egy korábban már kidolgozott tervet hajtanak végre.

Incidensre adott válasz fázisai

• Felkészülés – csapat, eszközök és forgatókönyvek
• Azonosítás – az incidens megerősítése és hatókörének meghatározása
• Megfékezés – a terjedés megállítása
• Kiküszöbölés – a támadó hozzáférésének eltávolítása
• Helyreállítás – visszaállítási műveletek
• Tanulságok – fejlődj legközelebb

A balesetekre való reagálás csapatmunka. A technikai munka csak a fele. A kommunikáció és a koordináció dönti el az eredményt.