يشمل: أخذ نسخة جنائية مطابقة للقرص بأدوات مثل FTK Imager مع أجهزة منع الكتابة، والتحقق من سلامتها ببصمات التشفير، والتحليل الجنائي بأدوات مثل EnCase، وتحليل أنظمة الملفات، واستعادة الملفات المحذوفة وتحليل المساحات غير المخصصة، وتحليل سجل النظام، وفحص المتصفحات والبريد والبيانات الوصفية للمستندات، وبناء خط زمني للأحداث، والتعامل مع الأقراص المشفرة، وفحص وسائط التخزين الخارجية، وتقريراً مفصلاً بالنتائج، وتوثيقاً للأدلة مقبولاً أمام المحاكم.

يشمل: الحصول على نسخة من الذاكرة بأدوات متخصصة، وتحليلها بإطار (Volatility 3) وأدوات مكملة، وحصر العمليات الجارية والاتصالات النشطة والمغلقة والمكتبات المحملة، وكشف الشيفرة المحقونة والعمليات المخفية وأدوات التخفي، واستخراج مفاتيح التشفير، واستعادة جلسات المتصفح ومحتوى الحافظة والأوامر المنفذة، وكشف البرمجيات غير الملفية وإساءة استخدام أدوات النظام المشروعة، وتحليل نشاط (PowerShell)، وتوثيق الآثار المقيمة في الذاكرة، وتقريراً تحليلياً مفصلاً.

يشمل: تحليل الحزم الملتقطة، وتجهيز الالتقاط الكامل للحزم للحوادث المستقبلية، وتحليل بيانات التدفق، وتحليل سجلات أنظمة كشف التسلل، وتحليل البروتوكولات كالويب ونظام أسماء النطاقات ومشاركة الملفات وسطح المكتب البعيد، وكشف الأنفاق عبر أسماء النطاقات وعمليات النقل الكبيرة للخارج، وأنماط الاتصال الدوري بخوادم التحكم، وتحليل الحركة المشفرة ببصماتها، وكشف النطاقات المولدة آلياً، وتتبع التحرك الجانبي، وإعادة بناء الخط الزمني، وتقريراً جنائياً مفصلاً.

يشمل: توثيق سلسلة الحفظ وفق المعايير الدولية لتحديد الأدلة وجمعها وحفظها، ووسم كل دليل بمعرّف فريد، وحساب بصمات التشفير لكل دليل، والتخزين المحمي من العبث في خزائن مادية ورقمية آمنة، ونموذج سلسلة الحفظ (من ومتى وأين ولماذا)، وتوثيق كل عملية تسليم وكل دخول إلى الأدلة، وملاحظات الفاحص الجنائي، والحفاظ على الأدلة الأصلية دون مساس والعمل على نسخ منها، ودعم الشهادة كخبير، والامتثال لنظام مكافحة الجرائم المعلوماتية السعودي.

يشمل: تهيئة منصة إدارة الخدمات مثل ServiceNow أو Jira، وتكاملها مع منصة الاستجابة المؤتمتة، ودورة حياة التذكرة من الاستلام والفرز إلى التحقيق والاحتواء والاستعادة والإغلاق، وتحديد مهلة الخدمة (ساعة للحرج و4 ساعات للعالي و24 للمتوسط و72 للمنخفض) وتنبيهات تجاوزها، وتنسيق العمل بين فرق الأمن والتقنية والقانونية والإعلام والإدارة، وقواعد الإسناد الآلي ومصفوفة التصعيد، وتصنيف الحوادث، ولوحات المؤشرات، والتكامل مع أنظمة الأمن الأخرى.

يشمل: ملخصاً تنفيذياً من صفحة واحدة، وخطاً زمنياً مرئياً للحادث، وتقييم الأثر التشغيلي والمالي والسمعي والنظامي، وتقدير الخسائر المباشرة وغير المباشرة، وتحليل الأثر على العملاء، ومتطلبات الإبلاغ النظامية للجهات المختصة، والتبعات الإعلامية، ووثائق مطالبة التأمين، وتوصيات استراتيجية واستثمارية للأمن السيبراني، وعرضاً لمجلس الإدارة من 15 إلى 20 شريحة، ونماذج تواصل مع أصحاب المصلحة والعملاء، ومسودات بيانات صحفية.

يشمل: تقريراً فنياً من 40 إلى 80 صفحة، وخطاً زمنياً تفصيلياً دقيقة بدقيقة، وتصوير مسار الهجوم على إطار (MITRE ATT&CK)، وتوثيق طريقة الدخول والأدوات والأساليب المستخدمة، وقائمة كاملة بمؤشرات الاختراق والهجوم، وقواعد كشف جديدة لأنظمة المراقبة وكشف التسلل، والنتائج الجنائية للأقراص والذاكرة والشبكة، وحصر الأنظمة والبيانات المتأثرة والمسربة إن وجدت، وتحليل فجوات الكشف، وتوصيات لضبط أدوات المراقبة وحماية الأجهزة، وملاحق بكل الآثار الجنائية.

يشمل: ورشة لتحليل الأسباب الجذرية، وتطبيق منهجية «لماذا الخمسة» ومخطط السبب والنتيجة وشجرة الأخطاء، وتحليل الأسباب على مستويات التقنية والعمليات والأفراد والحوكمة، وتحديد العوامل المساهمة والظروف الكامنة، وتحليل العوامل البشرية، وتحليل فجوات العمليات والتقنية والتدريب والسياسات، وفجوة الكشف (لماذا لم نكتشف الحادث مبكراً؟) وفجوة الاستجابة (لماذا لم نستجب أسرع؟)، وخطط الإجراءات التصحيحية والوقائية، وتقريراً مفصلاً.

يشمل: ورشة مراجعة خلال أسبوعين من إغلاق الحادث، وجلسة نقاش فوري مع كل الفرق المشاركة، وإطار الأسئلة الأربعة: ما المتوقع؟ وما الذي حدث؟ ولماذا الفرق؟ وكيف نتحسن؟، وتحليل ما نجح وما أخفق وما يمكن تحسينه، وتحديد فجوات العمليات والأدوات والمهارات والتواصل، ومراجعة أداء الفريق دون لوم، وتقييم التنسيق بين الإدارات وأداء الموردين، وتوثيق الدروس ومتابعة بنود العمل بمسؤول وموعد، وتحديث قاعدة المعرفة، وملخصاً ربع سنوي للقيادة.

يشمل: بناء مكتبة من 15 إلى 25 دليلاً لحوادث مثل التصيد والبرمجيات الخبيثة والفدية وتسريب البيانات واختراق الحسابات والتهديد الداخلي وحجب الخدمة وهجمات سلسلة الإمداد، وهيكلاً موحداً لكل دليل يحدد المحفز والأدوار والخطوات ونقاط القرار والتواصل والأدلة والإغلاق، ومخططات القرار، ونماذج تواصل، ومصفوفة مسؤوليات، وإدارة الإصدارات، وتمارين محاكاة ربع سنوية لاختبارها، وأتمتة الأدلة في منصة الاستجابة المؤتمتة، وتدريب الفريق، ومواد تهيئة للموظفين الجدد.