When does the IRT begin recording events?

Đáp án đúng: "As soon as an incident is declared". IRT (incident response team, nhóm ứng phó sự cố) phải ghi chép mọi sự kiện, hành động và bằng chứng ngay từ khi sự cố được tuyên bố, vì nhật ký đầy đủ từ đầu giúp tái dựng diễn biến, giữ chuỗi lưu giữ bằng chứng (chain of custody) và phục vụ bài học kinh nghiệm sau này. "Only after executive approval" sai vì chờ lãnh đạo phê duyệt mới ghi sẽ làm mất thông tin ở giai đoạn đầu, vốn quan trọng nhất; lãnh đạo được báo cáo nhưng không phải điều kiện để bắt đầu ghi chép. "Once containment is complete" sai vì các bước ngăn chặn (containment) chính là hành động cần được ghi lại, bỏ qua chúng thì không đánh giá được phản ứng có đúng không. "After forensic analysis is finalized" sai vì điều tra số cần dựa vào ghi chép từ trước; đợi phân tích xong mới ghi thì bằng chứng khó được chấp nhận.