Răspunsul la incidente gestionează o încălcare a securității de la detectare până la recuperare. Procesul urmează un cadru: pregătire, identificare, izolare, eradicare, recuperare și lecții învățate. Fiecare fază are propriile provocări. Pregătirea construiește echipa, instrumentele și strategiile. Identificarea confirmă că un incident este real, nu o alarmă falsă. Izolarea oprește răspândirea. Eradicarea elimină accesul atacatorului. Recuperarea restabilește operațiunile normale. Lecțiile învățate previn următorul incident.

Viteza contează la fiecare pas. Cu cât un atacator rămâne mai mult în interior, cu atât provoacă mai multe pagube. Timpul mediu de staționare, intervalul dintre compromitere și detectare, a scăzut de-a lungul anilor, dar se măsoară încă în săptămâni pentru multe organizații. Echipele de ransomware se mișcă mai repede. Exfiltrează date și criptează sistemele în câteva zile. Un plan de răspuns a cărui activare durează o săptămână este inutil în acest interval de timp. Cele mai bune echipe de răspuns la incidente exersează. Desfășoară exerciții practice, simulează breșe de securitate și repetă comunicarea. Știu cine sună la juridic, cine vorbește cu presa și cine negociază cu atacatorul. Când se întâmplă incidentul real, nu își dau seama de asta pentru prima dată. Execută un plan pe care l-au mai derulat.

Fazele de răspuns la incidente

• Pregătire — echipă, instrumente și manuale de strategie
• Identificare — confirmarea și amploarea incidentului
• Izolare — opriți răspândirea
• Eradicare — eliminarea accesului atacatorului
• Recuperare — operațiuni de restaurare
• Lecții învățate — îmbunătățiri pentru data viitoare

Răspunsul la incidente este un sport de echipă. Munca tehnică reprezintă doar jumătate din ea. Comunicarea și coordonarea decid rezultatul.