Наблюдение, откриване и реакция
Логове, които съществуват и се четат, и план за реакция, който е бил репетиран поне веднъж.
Тези контроли не предотвратяват нищо — и точно затова са необходими. Те определят колко дълго нападателят остава незабелязан и колко бързо може да бъде спрян.
План за реакция, който не е бил репетиран, е документ. Първото учение почти винаги открива, че контактите са остарели, а правата за възстановяване липсват.