«Esposizione in sospeso» è uno stato che indica che l’impatto di un incidente di sicurezza segnalato non è ancora stato pienamente confermato. Può significare che gli investigatori non hanno stabilito se siano stati effettuati accessi ai sistemi, se dati sensibili siano stati visualizzati o sottratti oppure se i servizi siano stati interrotti.
In caso di rivendicazioni legate al ransomware, la segnalazione di una vittima può comparire prima che un’organizzazione o investigatori indipendenti verifichino i fatti. L’etichetta è quindi un segnale da valutare, non la prova di una violazione o di un furto di dati. I difensori possono esaminare i log di autenticazione e degli endpoint, cercare attività insolite degli account e determinare se i file siano stati consultati o predisposti per l’esfiltrazione. Separare le prove confermate dalle rivendicazioni non verificate aiuta i team a scegliere una risposta adeguata ed evitare di esagerare ciò che è noto.