L'autorità di risposta è l'insieme delle azioni che un fornitore di sicurezza è contrattualmente e tecnicamente autorizzato a intraprendere durante un allarme o un incidente. Può includere l'isolamento di un endpoint, la disattivazione di un account, il blocco del traffico, la raccolta di dati forensi oppure la sola notifica al cliente. Il termine è importante perché il solo rilevamento non ferma il danno; il valore di un servizio gestito dipende dal fatto che possa agire abbastanza rapidamente da contenere un attacco.
Nella pratica, l'autorità di risposta è definita da contratti, playbook e autorizzazioni degli strumenti. Un fornitore può rilevare una sospetta attività ransomware ma non essere in grado di mettere in quarantena un host senza l'approvazione del cliente, ritardando così il contenimento. Una forte autorità di risposta può accelerare la difesa, ma deve essere delimitata da regole chiare in modo che le azioni siano autorizzate, verificabili e allineate al rischio aziendale. I team di sicurezza dovrebbero verificare chi può fare cosa, in quali sistemi e a quali condizioni prima che si verifichi un incidente.