Ứng phó sự cố xử lý vi phạm an ninh từ khi phát hiện đến khi khắc phục. Quy trình tuân theo một khuôn khổ: chuẩn bị, nhận diện, ngăn chặn, loại bỏ, phục hồi và rút kinh nghiệm. Mỗi giai đoạn đều có những thách thức riêng. Chuẩn bị xây dựng đội ngũ, công cụ và kế hoạch hành động. Nhận diện xác nhận rằng sự cố là có thật, không phải là báo động giả. Ngăn chặn ngăn ngừa sự lây lan. Loại bỏ tước bỏ quyền truy cập của kẻ tấn công. Phục hồi khôi phục hoạt động bình thường. Rút kinh nghiệm giúp ngăn ngừa sự cố tiếp theo.

Tốc độ là yếu tố quan trọng ở mọi bước. Kẻ tấn công càng ở lại lâu trong hệ thống, chúng càng gây ra nhiều thiệt hại. Thời gian lưu trú trung bình, khoảng thời gian giữa lúc bị xâm nhập và bị phát hiện, đã giảm trong những năm qua nhưng vẫn kéo dài hàng tuần đối với nhiều tổ chức. Các nhóm tin tặc tấn công bằng mã độc tống tiền hoạt động nhanh hơn. Chúng đánh cắp dữ liệu và mã hóa hệ thống chỉ trong vài ngày. Một kế hoạch ứng phó cần một tuần để kích hoạt sẽ vô dụng trước khung thời gian đó. Các đội ứng phó sự cố giỏi nhất đều luyện tập. Họ thực hiện các bài tập mô phỏng, giả lập các vụ xâm nhập và diễn tập liên lạc. Họ biết ai sẽ liên hệ với bộ phận pháp lý, ai sẽ nói chuyện với báo chí và ai sẽ đàm phán với kẻ tấn công. Khi sự cố thực sự xảy ra, họ không phải lần đầu tiên tìm hiểu cách xử lý. Họ đang thực hiện một kế hoạch mà họ đã từng thực hiện trước đây.

Các giai đoạn ứng phó sự cố

• Chuẩn bị — đội ngũ, công cụ và kế hoạch hành động
• Nhận dạng — xác nhận và khoanh vùng sự cố
• Kiểm soát — ngăn chặn sự lây lan
• Diệt trừ — loại bỏ quyền truy cập của kẻ tấn công
• Khôi phục — khôi phục hoạt động
• Rút kinh nghiệm — cải thiện cho lần sau.

Ứng phó sự cố là một hoạt động nhóm. Công việc kỹ thuật chỉ là một nửa. Giao tiếp và phối hợp quyết định kết quả.