La superficie di risposta è l'insieme di sistemi, log, avvisi e punti di controllo che i difensori ispezionano quando verificano e contengono un sospetto incidente. Non si tratta di un singolo strumento o dashboard, ma dell'area pratica in cui compaiono le prove: record di autenticazione, telemetria degli endpoint, tracce di audit nel cloud, gateway di posta elettronica, stato dei backup e log degli accessi privilegiati.
Nella sicurezza informatica, la superficie di risposta è importante perché gli aggressori spesso lasciano tracce parziali, non un quadro completo. Un elenco di vittime, per esempio, può suggerire un'estorsione, ma i difensori devono comunque esaminare la superficie di risposta per confermare se vi sia stata una reale compromissione, un furto di dati o un impatto sul servizio. Durante un'indagine, i team la usano per correlare gli eventi, identificare il percorso di accesso iniziale, delimitare gli asset coinvolti e decidere cosa isolare, reimpostare o ripristinare. Una superficie di risposta ben strumentata rende il contenimento più rapido e riduce le congetture.