Which phase begins once the threat has been contained in incident response?

Đáp án đúng: "Recovery". Trong quy trình ứng phó sự cố, sau khi mối đe doạ đã được ngăn chặn (containment) và loại bỏ, tổ chức chuyển sang giai đoạn recovery (khôi phục): đưa hệ thống trở lại hoạt động bình thường, khôi phục dữ liệu từ bản sao lưu, kiểm tra hệ thống sạch rồi theo dõi để chắc sự cố không tái diễn. "Reporting" là việc báo cáo sự cố cho lãnh đạo, cơ quan quản lý hay bên liên quan; nó diễn ra xuyên suốt và khi kết thúc chứ không phải giai đoạn bắt đầu ngay sau ngăn chặn. "Monitoring" là giám sát để phát hiện dấu hiệu bất thường, thuộc về phía phát hiện trước khi có sự cố, dù sau khôi phục cũng có theo dõi thêm. "Escalation" là chuyển sự cố lên cấp xử lý cao hơn khi mức độ nghiêm trọng vượt thẩm quyền, xảy ra ở giai đoạn đánh giá và ứng phó, trước khi mối đe doạ được kiểm soát.