Investigación y evaluación de incidentes y manejo de la evidencia

Una vez confirmado un incidente, la investigación establece qué ocurrió, cómo, cuándo, qué sistemas y datos se afectaron y si el atacante sigue presente. La evaluación usa esos hechos para valorar el impacto en el negocio, confirmar o cambiar la severidad y guiar las decisiones de contención, notificación y recuperación.