發生網路攻擊等資安事件時，找出損害並阻止擴大、排除原因並恢復業務，再把教訓運用到下一次的一連串活動。美國NIST的SP 800-61第2版（2012年）把它分為準備、偵測與分析、遏制・根除・復原、事後活動4個階段，2025年的第3版則配合網路安全框架（CSF）2.0重新整理。在組織內由CSIRT主導，與資安監控中心、系統負責人、法務、公關、經營者等合作進行。
日文名稱: インシデントレスポンス
「資安事件應變」出現在1領域的1道練習題中（網路攻擊與防禦實務等）。
這個名詞所屬的領域: 網路攻擊與防禦實務
回應的速度，很大程度取決於資安事件發生前的準備。事先決定聯絡體制與判斷權限、程序書（劇本）、日誌的收集與保存、備份、調查工具，以及外部專業業者與警方等的聯絡窗口，並透過桌上演練等訓練加以確認。
在阻止損害擴大的遏制階段，會採取把端點與網路隔離、停用帳號、阻斷通訊等手段。但若立刻重新安裝或關閉電源，調查入侵途徑所需的證據（記憶體內容與日誌）就會遺失，可能在未排除原因的情況下再次遭到入侵。要依情況判斷調查與遏制的先後順序。
回應結束後，不以追究個人責任為目的，而是為了改善機制，回顧發生了什麼、哪些做得好、哪些不足。並把結果連結到偵測規則、程序書與系統架構的檢討，以平均偵測時間等指標確認改善成效。
正確答案：B. 準備 → 偵測與分析 → 遏制・根除・復原 → 事後活動
SP 800-61 Rev. 2提出4個階段：整備體制、程序與工具的「準備」；從警示與日誌判斷是否為資安事件並估計影響的「偵測與分析」；阻止損害擴大、排除原因並恢復業務的「遏制・根除・復原」；以及整理教訓運用到下一次的「事後活動」。偵測與分析，與遏制・根除・復原之間會來回進行，事後活動得到的教訓會回饋到準備，用來改善偵測規則與程序。另外，2025年4月公布的第3版（Rev. 3）已配合NIST網路安全框架（CSF）2.0的功能重新整理，但這4個階段的思維至今仍被廣泛使用。
兩者有重疊之處，但並不相同。ITIL等的事件管理，目的是讓包含故障在內的服務中斷儘快恢復正常。資安事件應變還要排除攻擊者、保全證據、依法令通報等，因此由CSIRT主導，以專用的程序進行。
支付了也不保證能解密，也不保證對方會遵守不公開竊取資料的承諾。支付會成為下一次攻擊的資金，視對象而定也可能產生法律上的問題。許多公部門建議不要支付，並以從與網路隔離的備份復原為前提做好準備。
入侵指標（IoC） 入侵偵測系統（IDS） 供應鏈攻擊 軟體物料清單（SBOM） 資安事件管理（SIEM） 資安監控中心 零信任 滲透測試 端點偵測與回應（EDR） 網頁應用程式防火牆（WAF）