La réponse à incident suit le cycle NIST : Préparation, Détection & Analyse, Confinement, Éradication, Récupération, Post-Incident. Un playbook définit les actions par type d'incident (ransomware, exfiltration, etc.). L'équipe CSIRT (Computer Security Incident Response Team) coordonne la réponse et communique en interne/externe.