Laquelle des activités suivantes est incluse dans la phase d'examen post-incident ?

La détermination de la cause première est une activité clé de la phase post-incident, car elle permet d'identifier les vulnérabilités sous-jacentes et d'empêcher la récurrence d'incidents similaires. L'élaboration d'étapes pour atténuer les risques est une action préventive qui découle de l'analyse de la cause première, mais n'est pas l'analyse elle-même. La validation de l'exactitude des preuves est une tâche continue tout au long de l'enquête et de la phase de confinement, non spécifiquement post-incident. Le rétablissement de la configuration du système est une activité de récupération qui se produit généralement avant la phase d'examen post-incident, une fois que l'incident a été contenu et éradiqué.