Olay müdahalesi, bir güvenlik ihlalini tespitten kurtarmaya kadar ele alır. Bu süreç, hazırlık, tanımlama, sınırlama, ortadan kaldırma, kurtarma ve öğrenilen dersler çerçevesinde ilerler. Her aşamanın kendine özgü zorlukları vardır. Hazırlık, ekibi, araçları ve kılavuzları oluşturur. Tanımlama, olayın gerçek olduğunu, yanlış alarm olmadığını doğrular. Sınırlama, yayılmayı durdurur. Ortadan kaldırma, saldırganın erişimini ortadan kaldırır. Kurtarma, normal operasyonları geri yükler. Öğrenilen dersler, bir sonrakini önler.

Hız her adımda önemlidir. Saldırgan ne kadar uzun süre içeride kalırsa, o kadar çok hasar verir. Saldırı ile tespit arasındaki ortalama bekleme süresi yıllar içinde azalmış olsa da, birçok kuruluş için hala haftalarla ölçülmektedir. Fidye yazılımı ekipleri daha hızlı hareket eder. Verileri sızdırır ve sistemleri günler içinde şifrelerler. Aktif hale gelmesi bir hafta süren bir müdahale planı, bu zaman çizelgesine karşı işe yaramaz. En iyi olay müdahale ekipleri pratik yapar. Masa başı tatbikatları yaparlar, ihlalleri simüle ederler ve iletişimi prova ederler. Kimin hukuk departmanını arayacağını, kimin basınla konuşacağını ve kimin saldırganla pazarlık yapacağını bilirler. Gerçek olay gerçekleştiğinde, bunu ilk kez çözmüyorlar. Daha önce uyguladıkları bir planı hayata geçiriyorlar.

Olay müdahale aşamaları

• Hazırlık — ekip, araçlar ve kılavuzlar
• Kimlik tespiti — olayı doğrulayın ve kapsamını belirleyin
• Yayılmayı durdurmak — kontrol altına almak
• Yok etme — saldırganın erişimini ortadan kaldırma
• Kurtarma — işlemleri geri yükleme
• Öğrenilen dersler — bir dahaki sefere daha iyi olmak için

Olay müdahalesi bir takım işidir. Teknik çalışma bunun sadece yarısıdır. İletişim ve koordinasyon sonucu belirler.