Egy terv értéke szinte teljesen abban van, hogy előre eldöntöttünk dolgokat: ki nyilvánít incidenst, ki állíthatja le az éles rendszert, ki beszél az ügyfelekkel, hová kerülnek a jegyzetek, melyik hatóságot kell értesíteni és mennyi időn belül. Ezek egyikét sem hajnali kettőkor, közönség előtt kell eldönteni.
A leggyakrabban hiányzó rész az, hogy rekonstruálni lehessen, mi történt. Ha a naplókat nem őrizték meg, vagy ott őrizték, ahová a támadó is elért, az őszinte jelentés az, hogy a kiterjedés ismeretlen — a „nem tudjuk kizárni” mondat pedig sokkal drágább, mint az a tárhely, amivel elkerülhető lett volna.
Kapcsolódó fogalmak
Blue team
A védekező oldal: a rendszerek megerősítése, figyelése, és a kezelése annak, ha történik valami.
Fenyegetésmodell
Írásos válasz arra, hogy ki támadná ezt, mit akarna, és mi állítaná meg valójában.
Adatszivárogtatás
Adatok kijuttatása olyan rendszerből, amelynek nem lett volna szabad kiengednie őket.
Ide tartozó munkapad
KiberbiztonságPurple Team: ugyanaz az ember írja az exploitot és zárja be a rést. A legtöbb ügynökség csak véd, vagyis olyan fenyegetés ellen, amit senki nem tesztelt.
