Şüpheli bir etkinlik fark edildiğinde ekiplerin aynı anda birçok kararı vermesi gerekir. Kimin bilgilendirileceği, hangi sistemlerin inceleneceği ve hizmet sürekliliğinin nasıl korunacağı önceden planlanmışsa müdahale daha tutarlı ilerler.
Önce durumu görünür kılın
Olayın başlangıç zamanını, etkilendiği düşünülen sistemleri ve gözlenen belirtileri kaydedin. Loglar, uyarılar ve kullanıcı bildirimleri gibi kaynakları tek bir olay kaydında toplayın. Kanıt niteliği taşıyabilecek verileri silmeden, incelemeyi yetkili ekibin koordine etmesini sağlayın.
Rolleri ve iletişimi netleştirin
Teknik ekip, yönetim, hukuk ve iletişim sorumlularının görevlerini önceden tanımlayın. Müdahale sırasında kararların kim tarafından onaylanacağı ve hangi kanaldan paylaşılacağı belli olmalıdır. Dış uzman desteği gerekecekse iletişim bilgileri güncel ve erişilebilir tutulmalıdır.
Toparlanma ve öğrenme
Etkilenen sistemleri güvenli biçimde yeniden devreye almadan önce olayın kapsamını ve giriş yolunu değerlendirin. Sonrasında alınan kararları, zaman çizelgesini ve iyileştirme adımlarını belgeleyin. Planı düzenli tatbikatlarla sınamak, gerçek bir olayda belirsizliği azaltır.