Actividad posterior al incidente: análisis de causa raíz, lecciones aprendidas, actualización de playbooks y controles

La actividad posterior al incidente es la fase que convierte un evento doloroso en una organización más fuerte. Sin ella, las mismas debilidades producen los mismos incidentes. Ocurre después de que el incidente se resuelve, pero idealmente pronto, mientras los detalles están frescos, a menudo en un par de semanas. Las dos actividades principales son el análisis de causa raíz y el proceso de lecciones aprendidas, y ambas solo tienen valor si conducen a cambios en los playbooks y los controles.