Cos'è la risposta agli incidenti?

Prima di definire la risposta agli incidenti, è importante chiarire cosa si intende con incidente. Nell'IT esistono tre termini che a volte vengono usati in modo intercambiabile, ma che hanno significati diversi:
 

1. Un evento è un'azione innocua che si verifica frequentemente, come ad esempio la creazione di un file, l'eliminazione di una cartella o l'apertura di un messaggio di posta elettronica. Di per sé un evento non è un'indicazione di una violazione, ma se associato ad altri eventi può segnalare una minaccia. 
2. Un avviso è una notifica attivata da un evento, che può rappresentare una minaccia oppure no.
3. Un incidente è un insieme di avvisi correlati che gli esseri umani o gli strumenti di automazione hanno considerato come una probabile minaccia. Di per sé, il singolo avviso potrebbe non segnalare una minaccia grave, ma se combinati, indicano una possibile violazione.

La risposta agli incidenti comprende le azioni che un'organizzazione compie quando ritiene che i sistemi IT o i dati siano stati violati. Ad esempio, i professionisti della sicurezza agiranno se vedranno le prove di un utente non autorizzato, malware o insuccesso delle misure di sicurezza.

Gli obiettivi della risposta sono quello di eliminare un cyberattacco il più rapidamente possibile, eseguire il ripristino, informare i clienti o gli enti pubblici secondo quanto previsto dalle leggi locali e capire come ridurre il rischio di una simile violazione in futuro.