Incidenthantering hanterar ett säkerhetsintrång från upptäckt till återställning. Processen följer ett ramverk: förberedelse, identifiering, inneslutning, utrotning, återställning och lärdomar. Varje fas har sina egna utmaningar. Förberedelser bygger teamet, verktygen och handböckerna. Identifiering bekräftar att en incident är verklig, inte ett falsklarm. Inneslutning stoppar spridningen. Utrotning tar bort angriparens åtkomst. Återställning återställer normal drift. Lärdomar förhindrar nästa.

Hastighet spelar roll i varje steg. Ju längre en angripare stannar inomhus, desto mer skada gör de. Den genomsnittliga uppehållstiden, gapet mellan kompromettering och upptäckt, har minskat med åren men mäts fortfarande i veckor för många organisationer. Ransomware-team agerar snabbare. De exfiltrerar data och krypterar system inom några dagar. En responsplan som tar en vecka att aktivera är värdelös mot den tidslinjen. De bästa incidenthanteringsteamen övar. De kör bordsövningar, simulerar intrång och repeterar kommunikation. De vet vem som ringer juridiken, vem som pratar med pressen och vem som förhandlar med angriparen. När den verkliga incidenten inträffar är det inte första gången de listar ut det. De genomför en plan de har kört tidigare.

Faser för incidenthantering

• Förberedelse — team, verktyg och spelböcker
• Identifiering — bekräfta och kartlägg händelsen
• Inneslutning – stoppa spridningen
• Utrotning — ta bort angriparens åtkomst
• Återställning — återställningsåtgärder
• Lärdomar – förbättra till nästa gång

Incidenthantering är en lagsport. Det tekniska arbetet är bara hälften. Kommunikation och samordning avgör resultatet.