πρέπει να ενημερώσουμε τον πελάτη αν έχει γίνει διαρροή δεδομένων

Συνήθως ναι, εάν το περιστατικό επηρεάζει την υπηρεσία σε αυτόν τον πελάτη

Στις περισσότερες περιπτώσεις, πρέπει να αναφέρετε ένα περιστατικό στον πελάτη σας, αλλά όχι κάθε περιστατικό και όχι σε όλους. Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει «χειρισμό περιστατικών» ως ένα από τα δέκα υποχρεωτικά μέτρα, και οι περισσότεροι κατάλογοι ερωτήσεων πελατών μεταφράζουν αυτό ως: έχετε διαδικασία για την αναφορά περιστατικών, σε ποιους, και σε ποιο χρονικό διάστημα. Αυτό είναι διαφορετικό από μια νομική υποχρέωση αναφοράς σε αρχή εποπτείας — η ερώτηση του πελάτη σας αφορά τη συμβατική ή λειτουργική συμφωνία μεταξύ σας και τους, όχι την υποχρέωση αναφοράς που το Νόμο Κυβερνοασφάλειας θα επιβάλει σύντομα σε ορισμένες οντότητες.

Μια παραβίαση δεδομένων που επηρεάζει μόνο τα δικά σας εσωτερικά συστήματα και δεν θίγει κανένα δεδομένο ή υπηρεσία αυτού του πελάτη, συχνά εξαιρείται από τη συμφωνία. Μόλις το περιστατικό θίγει δεδομένα, συστήματα ή παραδόσεις που είναι σχετικές για αυτόν τον πελάτη, η αναφορά είναι λογική — συχνά εντός του χρονικού διαστήματος που ορίζεται στο συμβόλαιο ή τη σύμβαση επεξεργασίας δεδομένων, όχι εντός ενός χρονικού διαστήματος που μπορούμε να αναφέρουμε εδώ. Ελέγξτε λοιπόν πρώτα τι έχει συμφωνηθεί στη δική σας σύμβαση με αυτόν τον πελάτη, γιατί αυτό έχει προτεραιότητα έναντι μιας γενικής απάντησης σε έναν κατάλογο ερωτήσεων.

Τι είναι το αποδεικτικό στοιχείο και τι απαντάτε χωρίς διαδικασία

Το υποκείμενο αποδεικτικό στοιχείο είναι τη διαδικασία διαχείρισης περιστατικών ασφάλειας: σε αυτό ορίζεται ποιος αποφασίζει εσωτερικά εάν κάτι πρέπει να αναφερθεί, σε ποιους, και σε ποιο χρονικό διάστημα. Εάν δεν έχετε καθορίσει αυτή τη διαδικασία, τότε το «όχι» είναι η πραγματικά σωστή απάντηση — ένα «ναι» χωρίς έγγραφο δεν αντέχει σε έναν ελεγχο. Οι πελάτες που θέτουν αυτήν την ερώτηση, συχνά ρωτούν επίσης στον ίδιο κατάλογο για πολιτική για την ανάλυση κινδύνου και την ασφάλεια συστημάτων πληροφοριών, επειδή ο χειρισμός περιστατικών στο άρθρο 21 παράγραφος 2 NIS2 και στο Παράρτημα Α του ISO/IEC 27001 θεωρείται ως σχετικό μέρος της πολιτικής ασφάλειας, όχι ως ξεχωριστή διαδικασία.