Olay müdahalesi, bir saldırının zararını en aza indirmeyi ve normal operasyona en kısa sürede dönmeyi amaçlar. NIST SP 800-61 Rev. 3, olay müdahalesini NIST CSF 2.0 işlevleriyle (özellikle Tespit, Müdahale ve Kurtarma) ilişkilendirerek ele alır.
Tipik aşamalar:
- Hazırlık: Plan, roller, iletişim listesi, araçlar ve tatbikatlar.
- Tespit ve analiz: Uyarıların değerlendirilmesi, olayın kapsamının ve ciddiyetinin belirlenmesi.
- Sınırlandırma: Etkilenen sistemlerin yalıtılması, ele geçirilmiş hesapların devre dışı bırakılması.
- Ortadan kaldırma: Kötü amaçlı yazılımın ve saldırganın erişim yollarının temizlenmesi.
- Kurtarma: Temiz yedeklerden geri dönüş ve izleme altında hizmetin yeniden başlatılması.
- Olay sonrası değerlendirme: Kök neden, alınan dersler ve iyileştirme aksiyonları.
Planda yasal bildirim yükümlülükleri (ör. KVKK kapsamında 72 saat), dış iletişim sorumluluğu ve kanıtların korunması da yer almalıdır. Plan en az yılda bir masa başı tatbikatla test edilmelidir.