Le lezioni apprese sono i risultati di una revisione di un incidente che aiutano un'organizzazione a migliorare la risposta e la resilienza future. Riassumono cosa ha funzionato, cosa è fallito e cosa dovrebbe cambiare dopo un evento di sicurezza, come una compromissione tramite phishing, un'epidemia di ransomware o un'interruzione del servizio.
Nella sicurezza informatica, questo termine è importante perché una buona revisione dovrebbe portare ad azioni correttive, non solo a un rapporto finale. I team usano le lezioni apprese per perfezionare le regole di rilevamento, rafforzare i percorsi di escalation, migliorare la registrazione, aggiornare i playbook, formare il personale e correggere controlli deboli o responsabilità poco chiare. Le revisioni più utili sono prive di colpe e pratiche, così le persone condividono i dettagli tecnici e operativi necessari per comprendere il fallimento. Una lezione ha valore solo quando viene tracciata, assegnata e verificata; in caso contrario, la stessa debolezza può riapparire nell'incidente successivo. Nei programmi di difesa, le lezioni apprese trasformano un evento isolato in un ciclo di miglioramento ripetibile.