1 – Identyfikacja – faza „identyfikacji” obejmuje zarządzanie bezpieczeństwem informacji, procesy biznesowe, zarządzanie aktywami, zarządzanie ryzykiem i pozwala firmie na ocenę ryzyka ataku cybernetycznego, mając na celu umożliwienie planowania wszystkich dalszych faz. Fazę tę należy zawsze ponownie sprawdzić po wystąpieniu ataku, ponieważ służy ona zapobieganiu kolejnemu atakowi tego samego rodzaju.

2 – Ochrona – faza „ochrony” ma na celu aktywne zapobieganie atakowi. Ten etap obejmuje wymóg ujęty jako „środki techniczne” w RODO i może również uwzględniać „środki organizacyjne”, mające na celu zapobieganie udanemu atakowi. Pomiary są bezpośrednim wynikiem oceny ryzyka związanego z informacją utworzoną w fazie „Identyfikacji”.

3 – Wykrywanie – faza „wykrycia” zapewnia metody wykrywania udanego ataku. Firma nie może zakładać, że atak zawsze zostanie udaremniony, a faza „wykrywania” zapewnia, że ​​w przypadku niepowodzenia któregokolwiek ze środków ochronnych firma będzie w stanie wykryć naruszenie i zareagować (Faza 4) przy najbliższej okazji.

4 – Odpowiedź – faza „odpowiedzi” zawiera szczegółowe informacje na temat reakcji firmy na udany atak – taki, który mógł zostać wykryty przez środki w „fazie wykrywania” lub w inny sposób – na przykład przez osobę trzecią informującą firmę o ataku. Faza odpowiedzi jest uważana za kluczową w planowaniu bezpieczeństwa cybernetycznego organizacji, ponieważ określa działania niezbędne do zatrzymania ataku i przejścia do fazy odzyskiwania.

5 – Odzyskiwanie – po zatrzymaniu cyberataku i zapobieganiu dalszym stratom należy przywrócić normalne działanie systemów w celu przywrócenia usług. Faza odzyskiwania będzie obejmowała również informacje zwrotne uzyskane w fazie „identyfikacji”, celem oceny i zapobieżenia podobnemu atakowi w przyszłości.