Hendelsesrespons håndterer et sikkerhetsbrudd fra deteksjon til gjenoppretting. Prosessen følger et rammeverk: forberedelse, identifisering, inneslutning, utryddelse, gjenoppretting og lærdommer. Hver fase har sine egne utfordringer. Forberedelse bygger teamet, verktøyene og strategiene. Identifisering bekrefter at en hendelse er reell, ikke en falsk alarm. Inneslutning stopper spredningen. Utryddelse fjerner angriperens tilgang. Gjenoppretting gjenoppretter normal drift. Lærdommer forhindrer den neste.

Hastighet er viktig i hvert trinn. Jo lenger en angriper holder seg inne, desto mer skade gjør de. Gjennomsnittlig oppholdstid, gapet mellom kompromittering og deteksjon, har sunket over årene, men måles fortsatt i uker for mange organisasjoner. Løsepengevirusteam jobber raskere. De tømmer data og krypterer systemer i løpet av dager. En responsplan som tar en uke å aktivere er ubrukelig mot den tidslinjen. De beste hendelsesresponsteamene øver. De kjører bordøvelser, simulerer brudd og øver på kommunikasjon. De vet hvem som ringer juridiske rådgivere, hvem som snakker med pressen og hvem som forhandler med angriperen. Når den virkelige hendelsen skjer, finner de ikke ut av det for første gang. De utfører en plan de har kjørt før.

Faser for hendelsesrespons

• Forberedelse – team, verktøy og strategier
• Identifikasjon – bekreft og kartlegg hendelsen
• Inneslutning – stopp spredningen
• Utryddelse – fjern angriperens tilgang
• Gjenoppretting – gjenopprettingsoperasjoner
• Lærdommer – forbedres til neste gang

Ulykkesrespons er en lagsport. Det tekniske arbeidet er bare halvparten av det. Kommunikasjon og koordinering avgjør resultatet.