São as ações tomadas para resolver ou mitigar um incidente, com informação coordenada e disseminada, seguindo procedimentos para parar o incidente e impedir que aconteça novamente. O suporte está no auxílio deste processo de recuperação de um incidente de segurança, que é determinado pelas próprias características do ataque efetuado. Em certos casos, a recuperação pode ser realizada logo após remover as causas do incidente; em outros, porém, é necessário reconstruir o sistema como um todo. Neste contexto, garantir a integridade do sistema é essencial.