Nesta etapa acontece a recuperação do incidente e o retorno a operação normal. As medidas de segurança adotadas aqui são corretivas e avaliativas. É importante possuir um plano de retorno para os ativos de segurança, de forma que as atividades de retorno não se tornem ameaças reais a continuidade da operação.