Kiedy usuniesz już skutki incydentu, wciąż zostaje ci do zrobienia wiele różnych rzeczy. Nie powinieneś jeszcze się rozluźniać. Co najważniejsze, musisz ustalić, co się stało i jak zapobiegać temu w przyszłości. Teraz możesz przeanalizować kopię systemu, którą wykonałeś przed rozpoczęciem odtwarzania danych. Kiedy będziesz już wiedział, co się stało, musisz, oczywiście, przedsięwziąć odpowiednie środki, aby taka sytuacja się nie powtórzyła. Musisz się także zastanowić, co ty sam i inni robiliście podczas reagowania na incydent (na przykład uruchamianie i zatrzymywanie pewnych programów) i cofnąć skutki tych czynności albo udokumentować je i podtrzymać.
Oprócz analizowania samego incydentu, musisz przeanalizować także swoją reakcję na niego. W tym momencie powinieneś poddać krytyce tylko reakcję, a nie szukać osoby odpowiedzialnej za wystąpienie incydentu. Nie dąż do konfrontacji, ale porozmawiaj ze wszystkimi osobami zaangażowanymi w reakcję. Wspólnie ustalcie, co zrobiliście dobrze, a co źle, co zadziałało, a co nie, jakie inne narzędzia i zasoby byłyby pomocne, jak zareagować lepiej następnym razem i czego nauczyliście się z tego doświadczenia.
Jeśli wysyłałeś powiadomienia o „incydencie w toku” do różnych ludzi i organizacji, teraz nadszedł czas, aby poinformować ich, że incydent dobiegł końca. Niedługo potem dostarcz im informacji o tym, co się stało, jak zareagowałeś i co planujesz zrobić, żeby ponownie nie doszło do takiego samego incydentu.
Ściganie i chwytanie napastnika Jeśli wykryjesz incydent szczególnie w toku odczujesz pokusę ruszenia w pogoń za intruzami, którzy usiłują wtargnąć do twojego systemu.
Ściganie niegodziwców ma swój urok, ale zwykle nie jest zbyt praktyczne. Masz do dyspozycji wiele różnych metod, ale natkniesz się także na wiele przeszkód natury technicznej i prawnej.
