ตรวจพบมัลแวร์แพร่ในเครือข่ายแต่ทีมยังวิเคราะห์ต่อโดยไม่แยกระบบที่ได้รับผลกระทบ แนวทางใดเหมาะสมที่สุด

เฉลยอธิบาย

RS.MI-01 กำหนดให้ contain incident เพื่อป้องกันการขยายตัวของเหตุและลดผลกระทบ ดังนั้นกรณีนี้ต้อง “จำกัดวงเหตุการณ์เพื่อหยุดการขยายผลกระทบ” ตัวเลือกอื่นเป็นผลลัพธ์ในคนละหมวดหรือคนละช่วงของวงจร และไม่แก้ข้อบกพร่องตามโจทย์โดยตรง