Инцидент-респондер.

Инцидент-респондер ведёт или поддерживает техническое реагирование на подтверждённые инциденты — от ransomware и BEC до атак, спонсируемых государствами. Ежедневная работа включает триаж и определение масштаба, сохранение улик и форензику (память, диск, облако, идентичности), сдерживание и ликвидацию противника, а также структурированное восстановление. Респондер тесно взаимодействует с SOC, threat hunter, юристами, коммуникациями и руководством и готовит письменные хронологии, индикаторы компрометации и отчёты о выученных уроках. Роль обычно базируется во внутреннем CSIRT, в DFIR-консалтинге или у киберстраховщика и подчиняется руководителю CSIRT или главе реагирования. Типичные требования: 5+ лет опыта в SOC, DFIR или red team и сертификаты GCFA, GCIH, GREM, GNFA или CCFP.