De tweede revisie (Rev. 2) van SP 800-61, de richtlijn voor incidentrespons die het Amerikaanse NIST in 2012 publiceerde, presenteert incidentrespons als een cyclus van vier fasen. Welke volgorde van de fasen is juist?

Antwoord: B. Voorbereiding → detectie en analyse → inperking, uitroeiing en herstel → activiteiten na het incident

SP 800-61 Rev. 2 presenteert vier fasen: „voorbereiding”, die de organisatie, procedures en hulpmiddelen inricht; „detectie en analyse”, die aan de hand van alerts en logs beoordeelt of iets een incident is en de gevolgen inschat; „inperking, uitroeiing en herstel”, die de uitbreiding van de schade stopt, de oorzaak wegneemt en de bedrijfsvoering herstelt; en „activiteiten na het incident”, die de geleerde lessen voor de volgende keer ordent. Tussen detectie en analyse en inperking, uitroeiing en herstel wordt heen en weer gegaan, en de lessen uit de activiteiten na het incident worden teruggevoerd naar de voorbereiding om detectieregels en procedures te verbeteren. De derde revisie (Rev. 3), gepubliceerd in april 2025, heeft de richtlijn opnieuw ingedeeld rond de functies van het Cybersecurity Framework (CSF) 2.0 van NIST, maar het model met vier fasen wordt nog steeds veel gebruikt.