Het Britse National Cyber Security Centre (NCSC) heeft een document gepubliceerd waarin organisaties worden geadviseerd hoe ze van een 'zeer ontwrichtende cyberaanval' kunnen herstellen. Volgens het Britse NCSC zijn de eerste uren bij een dergelijk incident namelijk erg belangrijk. De overheidsinstantie omschrijft een zeer ontwrichtende cyberaanval als een aanval die de vitale systemen of diensten van een organisaties verstoort of platlegt.

Een dergelijke aanval kan gevolgen hebben voor klanten, andere logistieke ketens raken en voor reputatieschade zorgen. Herstel van een dergelijke aanval vereist dat organisaties hun systemen opnieuw moeten opbouwen, bedrijfsprocessen moeten herzien en tijdelijke oplossingen moeten implementeren voordat de bedrijfsvoering is hersteld. Het adviesdocument is bedoeld voor directieleden, raden van bestuur, CISO's, cybersecurityteams, CTO's, CIO's en risk professionals.

Het document beschrijft wat aangevallen organisaties in de eerste uren moeten doen, zoals het opzetten van een incident-commandostructuur, de beslissing nemen over het uitschakelen of loskoppelen van systemen, het controleren van back-ups, het bepalen van de impact en het identificeren van vitale bedrijfsfuncties. Het tweede deel van het advies richt zich op herstel en onderzoek, wat in de eerste dagen en weken volgt. Het gaat dan om zaken zoals interne en externe communicatie, het organiseren van herstel en het omgaan met dataverlies, maar ook het wel of niet betalen van losgeld.

Het derde en laatste deel gaat over de "rebuild", ofwel de herbouwfase. Daarbij is het niet alleen belangrijk om de organisatie opnieuw op te bouwen en geleerde lessen mee te nemen, maar ook naar het welzijn van het personeel te kijken. "Zeer ontwrichtende cyberincidenten stellen buitengewone eisen aan zowel mensen als systemen. Tegen de tijd dat een organisatie de herbouwfase bereikt, kunnen degenen die bij de respons betrokken zijn langdurige psychische, emotionele en fysieke belasting hebben ervaren." Het Britse NCSC merkt op dat het belangrijk is dat organisaties niet alleen over incidentresponsplannen beschikken, maar die ook in de praktijk testen.