Esta etapa tem como premissa que, apesar das medidas de redução e prevenção das ameaças, ocorreu um incidente. A principal medida de segurança a ser aplicada aqui é a detectiva. Quanto antes detectar um incidente, menos dano será causado e mais rápido pode ser o retorno a operação normal. Além disso, uma outra medida de segurança também pode ser aplicada, as medidas repressivas. Estas medidas tem como objetivo reprimir o dano a menor intensidade possível.