Nella cybersecurity, la risposta è l'insieme di azioni intraprese dopo che una minaccia o un evento sospetto è stato rilevato. Può includere la convalida dell'avviso, l'isolamento di un endpoint, la disabilitazione degli account, il blocco del traffico, la conservazione dei log e l'avvio dell'analisi forense. L'obiettivo è limitare i danni mantenendo intatte le prove.
La risposta è importante perché il solo rilevamento non arresta un'intrusione. Gli aggressori potrebbero avere già accesso, quindi i difensori hanno bisogno di un modo rapido e disciplinato per contenere l'attività prima che si diffonda. Negli ambienti reali, la risposta compare nelle piattaforme di endpoint detection and response, nei playbook di incident response e nei flussi di lavoro del SOC, dove gli analisti eseguono il triage degli avvisi e attivano le misure di contenimento. Un buon processo di risposta riduce il dwell time, protegge gli altri sistemi e aiuta i team a recuperare con meno interruzioni.