Il framework NIST SP 800-61 struttura la gestione degli incidenti in un ciclo (non una linea retta – si torna indietro quando servono nuove scoperte):
- Preparazione – la fase che decide tutto il resto, fatta prima: procedure, ruoli, strumenti, log, backup, contatti. Non si improvvisa l'incident response durante l'incidente
- Detection & Analysis – riconoscere che è un incidente, capirne portata e impatto
- Containment, Eradication & Recovery – contenere (fermare la diffusione senza distruggere le prove), eradicare (rimuovere l'accesso dell'attaccante dopo aver capito l'estensione, non prima), ripristinare da fonte pulita con validazione
- Post-Incident Activity – le lessons learned: cosa è andato storto nei processi (mai nelle persone – postmortem senza colpevoli), e come renderli migliori
La variante SANS (PICERL: Preparation, Identification, Containment, Eradication, Recovery, Lessons learned) dice le stesse cose con sei parole. Il punto che tutti sottovalutano è la preparazione: è lì che si vincono o si perdono gli incidenti, mesi prima che accadano. Per il contesto NIS2, le fasi si legano agli obblighi di notifica – nis2-public tiene il workflow allineato all'Art. 23.