Un protocollo di crisi è un processo concordato in anticipo per coordinare le azioni durante un'emergenza in rapida evoluzione. Definisce chi deve agire, quali eventi ne attivano l'avvio, quali informazioni vengono condivise e quando la risposta termina. Nella sicurezza informatica, questo è importante perché gli incidenti si muovono rapidamente: un attacco ransomware, un'ondata di phishing, una fuga di dati o una falsa voce possono diffondersi più velocemente di quanto i team riescano a improvvisare una risposta.
Protocolli di crisi ben progettati riducono confusione e ritardi. Aiutano i team di sicurezza, il personale legale, la comunicazione e i partner esterni a prendere decisioni coerenti sotto pressione, soprattutto quando gli aggressori usano velocità, paura o disinformazione per aumentare l'impatto. In difesa, un protocollo può stabilire percorsi di escalation, regole di approvazione, passaggi di contenimento, controlli sui messaggi pubblici e limiti di tempo, così che le misure temporanee non diventino permanenti. Negli attacchi, l'assenza di un protocollo chiaro porta spesso ad azioni contrastanti, a un contenimento lento e a una perdita di fiducia. L'obiettivo non è solo reagire, ma coordinarsi con disciplina.