La risposta automatizzata è un controllo difensivo che consente al software di sicurezza di agire senza attendere che una persona approvi ogni passaggio. Le azioni comuni includono l'isolamento di un endpoint, la disabilitazione di un account utente, la revoca di un token, il blocco di un indirizzo IP o l'apertura di un ticket di incidente. Serve a ridurre i tempi di reazione quando il contenimento rapido è fondamentale.
Nella sicurezza informatica, la risposta automatizzata può fermare la diffusione del malware, limitare l'abuso degli account e ridurre il tempo di permanenza. È più efficace quando è collegata a segnali affidabili come la telemetria degli endpoint, i registri di identità e le regole di rilevamento delle minacce. Il rischio è rappresentato dai falsi positivi: un sistema troppo aggressivo può bloccare utenti legittimi, mettere in quarantena sistemi critici o interrompere l'attività aziendale. Per questo motivo, le risposte ad alto impatto spesso utilizzano soglie, approvazioni, percorsi di rollback e revisione con supervisione umana. Anche gli attaccanti prendono di mira questi controlli cercando di attivarli per causare interruzioni oppure evitando gli eventi che li farebbero scattare.