To trwała zdolność zarządzania ryzykiem, a nie tylko praca kryminalistyczna wykonywana po naruszeniu.
Skuteczna reakcja łączy działania techniczne z kierownictwem, obowiązkami prawnymi i regulacyjnymi, komunikacją, bezpieczeństwem, ciągłością i odtwarzaniem. Przygotowanie ma znaczenie, bo incydent to zły moment na odkrywanie, kto może zatwierdzić ograniczanie, gdzie przechowywane są dowody albo jak przywrócić krytyczne usługi.
Większość programów organizuje pracę wokół uznawanego cyklu życia — przygotowanie; wykrywanie i analiza; ograniczanie, eliminacja i odtwarzanie; oraz wnioski poincydentowe — i ćwiczy go przez ćwiczenia tabletop i funkcjonalne. Organizacje bez wewnętrznej głębi często kupują utrzymanie gotowości reagowania (retainer), by pomoc zewnętrzna docierała na uzgodnionym z góry kontrakcie, a nie negocjowanym w najgorszych godzinach naruszenia.
Najważniejsze punkty
Przed incydentemZdefiniuj role, ścieżki eskalacji, komunikację, postępowanie z dowodami, wsparcie zewnętrzne i przećwiczone plany.
W trakcie incydentuUstal fakty, oceń wpływ, ogranicz szkodę, zachowaj dowody, komunikuj decyzje i adaptuj się w miarę zmiany wiedzy.
Po ograniczeniuUsuń pozostały dostęp, przywróć bezpiecznie, monitoruj nawroty i przełóż wnioski na usprawnienia kontroli.
Istotne ograniczenieSzybkie ograniczanie nie zawsze jest najbezpieczniejszym pierwszym krokiem; źle skoordynowane zmiany mogą zniszczyć dowody lub zakłócić istotne operacje.