Ez egy folyamatos kockázatkezelési képesség, nem csupán az adatsértés után végzett forenzikai munka.
A hatékony reagálás a technikai műveleteket az üzleti vezetéssel, a jogi és szabályozási kötelezettségekkel, a kommunikációval, a biztonsággal, a folytonossággal és a helyreállítással kapcsolja össze. A felkészülés azért számít, mert az incidens rossz pillanat annak kiderítésére, ki hatalmazhat fel a megfékezésre, hol tárolják a bizonyítékokat, vagy hogyan állíthatók helyre a kritikus szolgáltatások.
A legtöbb program a munkát elismert életciklus köré szervezi — felkészülés; észlelés és elemzés; megfékezés, felszámolás és helyreállítás; valamint incidens utáni tanulás —, és asztali (tabletop) és funkcionális gyakorlatokkal próbálja be. A belső kapacitás nélküli szervezetek gyakran reagálási retainer megállapodást kötnek, hogy a külső segítség előre egyeztetett szerződés alapján érkezzen, ahelyett, hogy az adatsértés legrosszabb óráiban kellene megalkudni rá.
Legfontosabb pontok
Incidens előttMeg kell határozni a szerepköröket, az eszkalációs útvonalakat, a kommunikációt, a bizonyítékkezelést, a külső támogatást és a gyakorlatokban tesztelt terveket.
Incidens közbenMeg kell állapítani a tényeket, fel kell mérni a hatást, meg kell fékezni a kárt, meg kell őrizni a bizonyítékokat, közölni kell a döntéseket, és alkalmazkodni kell az ismeretek változásához.
Megfékezés utánFel kell számolni a megmaradt hozzáférést, biztonságosan helyre kell állítani, monitorozni kell az ismétlődést, és a tanulságokat kontrolljavításokká kell fordítani.
Fontos korlátA gyors megfékezés nem mindig a legbiztonságosabb első lépés; a rosszul koordinált változások megsemmisíthetik a bizonyítékokat vagy megzavarhatják a létfontosságú műveleteket.