Respons insiden menangani pelanggaran keamanan mulai dari deteksi hingga pemulihan. Proses ini mengikuti kerangka kerja: persiapan, identifikasi, penahanan, pemberantasan, pemulihan, dan pembelajaran. Setiap fase memiliki tantangannya sendiri. Persiapan membangun tim, alat, dan panduan. Identifikasi memastikan bahwa insiden tersebut nyata, bukan alarm palsu. Penahanan menghentikan penyebaran. Pemberantasan menghilangkan akses penyerang. Pemulihan mengembalikan operasi normal. Pembelajaran mencegah kejadian serupa berikutnya.

Kecepatan sangat penting di setiap langkah. Semakin lama penyerang berada di dalam sistem, semakin besar kerusakan yang mereka timbulkan. Waktu rata-rata penyerangan, yaitu selang waktu antara peretasan dan deteksi, telah menurun selama bertahun-tahun tetapi masih mencapai hitungan minggu untuk banyak organisasi. Kelompok ransomware bergerak lebih cepat. Mereka mengekstrak data dan mengenkripsi sistem dalam hitungan hari. Rencana respons yang membutuhkan waktu seminggu untuk diaktifkan tidak berguna dalam jangka waktu tersebut. Tim respons insiden terbaik berlatih. Mereka menjalankan latihan simulasi, mensimulasikan pelanggaran keamanan, dan melatih komunikasi. Mereka tahu siapa yang menghubungi bagian hukum, siapa yang berbicara dengan pers, dan siapa yang bernegosiasi dengan penyerang. Ketika insiden sebenarnya terjadi, mereka tidak sedang mencari solusi untuk pertama kalinya. Mereka menjalankan rencana yang telah mereka jalankan sebelumnya.

Fase-fase respons insiden

• Persiapan — tim, alat, dan panduan
• Identifikasi — konfirmasi dan tentukan ruang lingkup insiden
• Pengendalian — hentikan penyebaran
• Pemberantasan — hilangkan akses penyerang
• Pemulihan — mengembalikan operasi
• Pelajaran yang didapat — perbaiki untuk lain kali

Penanganan insiden adalah kerja tim. Pekerjaan teknis hanyalah setengahnya. Komunikasi dan koordinasi menentukan hasilnya.