Школу зашифровали. Администратор восстановил все серверы из резервных копий за один вечер, работа продолжилась. Через два дня всё повторилось: злоумышленник вошёл тем же способом. Какой этап цикла был пропущен?

После восстановления следовало проанализировать инцидент, определить, каким способом злоумышленник проник в сеть, устранить уязвимость и извлечь уроки, чтобы предотвратить повторение.

Ответ: этап анализа инцидента и извлечения уроков («выводы»).