Die 2012 vom US-amerikanischen NIST veröffentlichte zweite Ausgabe (Rev. 2) des Leitfadens SP 800-61 zur Incident Response stellt die Bearbeitung von Sicherheitsvorfällen als Wiederholung von vier Phasen dar. Welche Reihenfolge der Phasen ist richtig?

Antwort: B. Vorbereitung → Erkennung und Analyse → Eindämmung, Beseitigung und Wiederherstellung → Nachbereitung

SP 800-61 Rev. 2 nennt vier Phasen: „Vorbereitung“, in der Organisation, Abläufe und Werkzeuge bereitgestellt werden; „Erkennung und Analyse“, in der anhand von Warnungen und Logs beurteilt wird, ob ein Sicherheitsvorfall vorliegt, und die Auswirkungen abgeschätzt werden; „Eindämmung, Beseitigung und Wiederherstellung“, in der die Ausbreitung des Schadens gestoppt, die Ursache beseitigt und der Betrieb wiederhergestellt wird; und „Nachbereitung“, in der die Lehren festgehalten und für das nächste Mal genutzt werden. Zwischen Erkennung und Analyse sowie Eindämmung, Beseitigung und Wiederherstellung wird hin- und hergewechselt, und die Lehren aus der Nachbereitung fließen in die Vorbereitung zurück, um Erkennungsregeln und Abläufe zu verbessern. Die im April 2025 veröffentlichte dritte Ausgabe (Rev. 3) wurde an die Funktionen des NIST Cybersecurity Framework (CSF) in Version 2.0 angepasst und neu gegliedert; das Denken in diesen vier Phasen ist aber weiterhin verbreitet.