Un’azione di isolamento è una misura di contenimento che separa un dispositivo o sistema sospettato di essere compromesso dalle altre parti di una rete o di un’operazione. Può comportare la disconnessione di un dispositivo, il blocco delle sue comunicazioni o il suo trasferimento in un segmento di rete con accesso limitato. L’obiettivo è limitare la propagazione di un attacco mentre i responsabili della risposta svolgono le indagini.
Nella tecnologia operativa (OT), l’isolamento può interrompere processi fisici, sistemi di sicurezza o servizi essenziali, quindi deve essere disciplinato da procedure rigorose. I difensori dovrebbero comprendere il ruolo e le dipendenze dell’asset, definire chi può autorizzare l’isolamento e testare in anticipo i piani di risposta. In pratica, uno strumento di rilevamento può raccomandare o attivare l’isolamento, ma le azioni automatizzate dovrebbero essere utilizzate solo quando se ne comprendono gli effetti e i controlli operativi lo consentono.