La preparazione alle emergenze è la capacità di rispondere rapidamente ed efficacemente quando si verifica un evento dirompente. Nella sicurezza informatica, significa avere persone, processi e controlli tecnici pronti prima che si verifichi un incidente: playbook di risposta agli incidenti, catene di contatto, procedure di backup e ripristino, registrazione dei log, passaggi di isolamento e autorità decisionale. Una buona preparazione non previene ogni attacco, ma limita i danni e accelera il ripristino.
È importante perché molti incidenti informatici peggiorano quando un'organizzazione non può agire rapidamente. Ransomware, malware distruttivo, compromissione di account, interruzioni del cloud e guasti dell'infrastruttura mettono tutti alla prova la prontezza. Un team preparato può contenere la propagazione, preservare le prove, ripristinare i servizi e comunicare chiaramente con le parti interessate. I difensori misurano questo aspetto tramite esercitazioni tabletop, drill, test di ripristino e revisioni post-incidente. Negli audit, la preparazione alle emergenze è dimostrata da prove che i piani sono aggiornati, testati e collegati a rischi operativi reali, invece di essere lasciati solo come documenti di policy.