หลักฐานอยู่บนระบบที่จะปิด ควรทำอย่างไร
กเก็บ forensic image ก่อนเปลี่ยนระบบ
ขชะลอมาตรการสำหรับหลักฐานอยู่บนระบบที่จะปิด ควรทำอย่างไรจนพบความเสียหายจริง แม้มีสัญญาณเตือนหรือช่องโหว่ที่ประเมินได้แล้ว
คให้ผู้ปฏิบัติงานเข้าถึงทุกระบบที่เกี่ยวกับหลักฐานอยู่บนระบบที่จะปิด ควรทำอย่างไรชั่วคราวจนจบงาน โดยไม่จำกัดตามบทบาทและไม่กำหนดเวลาถอนสิทธิ
งลดการเก็บ log ของหลักฐานอยู่บนระบบที่จะปิด ควรทำอย่างไรทุกส่วนเพื่อคืนทรัพยากร โดยไม่แยกเหตุการณ์สำคัญหรือกำหนดข้อมูลขั้นต่ำสำหรับตรวจสอบ
เฉลยอธิบาย
แนวทางนี้ลดความเสี่ยงตามวงจร Govern–Identify–Protect–Detect–Respond–Recover ของ NIST CSF 2.0