W sytuacji, gdy pojawia się informacja o możliwej kompromitacji danych użytkowników, jednym z priorytetów jest zabezpieczenie interesów użytkowników i ograniczenie szkód po ich stronie. Dlatego działanie "Powiadomienie użytkowników o potencjalnym naruszeniu danych" jest uzasadniane tym, że użytkownicy mogą natychmiast podjąć kroki ochronne: uważać na wiadomości podszywające się pod serwis, zmienić hasło również w innych usługach (jeśli je powielali), włączyć dodatkowe zabezpieczenia konta czy monitorować nietypowe aktywności.
Pozostałe odpowiedzi opisują działania, które mogą być częścią obsługi incydentu, ale mają istotne wady jako "pierwszy krok" w ujęciu tego pytania:
- "Usunięcie wszystkich danych użytkowników z serwera" jest działaniem skrajnym i potencjalnie nieodwracalnym. Może utrudnić analizę przyczyn, ocenę zakresu incydentu oraz odtworzenie przebiegu zdarzeń. Dodatkowo nie rozwiązuje problemu, jeśli dane zostały już skopiowane poza serwer.
- "Zmiana wszystkich haseł użytkowników" bywa zasadne dopiero po ocenie sytuacji i wdrożeniu kontrolowanego procesu (np. wymuszenie resetu, unieważnienie sesji). Wykonana pochopnie może spowodować problemy dostępności i nie usuwa przyczyny incydentu. Ponadto, jeśli atak wciąż trwa, nowe hasła też mogą zostać przechwycone.
- "Wyłączenie strony internetowej" może ograniczyć część ryzyk, ale zwykle jest środkiem doraźnym. Nie jest to zawsze konieczne i może spowodować straty operacyjne. Samo wyłączenie serwisu nie informuje użytkowników o ryzyku i nie wspiera ich w ochronie przed skutkami wycieku.
Egzaminacyjnie warto pamiętać o rozróżnieniu: działania techniczne (izolacja, analiza logów, łatanie luk, reset sesji) oraz działania komunikacyjne (powiadomienie użytkowników, jasne wskazanie ryzyk i rekomendowanych kroków). W praktyce te ścieżki często toczą się równolegle w ramach procedury reagowania na incydenty.
