Υπάρχει διαδικασία για την αντιμετώπιση περιστατικών ασφαλείας;

Η αντιμετώπιση περιστατικών είναι ένα από τα δέκα υποχρεωτικά μέτρα

Ναι, και αυτή η ερώτηση ελέγχει συγκεκριμένα το δεύτερο από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 NIS2: η "αντιμετώπιση περιστατικών" αναφέρεται κατά γράμμα δίπλα στην ανάλυση κινδύνου ως δική της κατηγορία. Όποιος λάβει αυτή την ερώτηση, δεν χρειάζεται μόνο να πει ότι υπάρχει μια διαδικασία, αλλά και να δείξει τι περιέχει: πώς ένα περιστατικό αναφέρεται, ποιος το αναλαμβάνει, ποια βήματα λαμβάνονται και πώς καταγράφεται τι συνέβη. Μια διαδικασία χωρίς ιδιοκτήτη ή χωρίς καταγεγραμμένα βήματα δεν πείθει έναν ελεγκτή, ακόμη και αν το έγγραφο υπάρχει.

Το συγκεκριμένο στοιχείο απόδειξης είναι συνήθως μια περιγραφή διαδικασίας ή runbook, που περιλαμβάνει ταξινόμηση περιστατικών (σοβαρότητα, επίδραση), σημείο αναφοράς ή άτομο επικοινωνίας, και ένα βήμα για αξιολόγηση μετά την ολοκλήρωση. Αυτή η αξιολόγηση δεν είναι διακοσμητική: χωρίς έναν σταθερό τρόπο καταγραφής και διατήρησης γεγονότων στα συστήματα, δεν υπάρχει βάση για την ανακατασκευή ενός περιστατικού ή την απόδειξη ότι έχει αντιμετωπιστεί. Αν η διαδικασία λείπει ακόμη, τότε το "όχι, υπό ανάπτυξη" είναι μια πιο ειλικρινής απάντηση από το να εφεύρουμε μια διαδικασία που δεν υπάρχει — η ερωτηματολόγιο ρωτά για αυτό που υπάρχει, όχι για μια πρόθεση.

Πώς αυτό συνδέεται με τη συνέχεια και την ανάλυση κινδύνου

Το άρθρο 21 παράγραφος 2 αναφέρει τα δέκα μέτρα ως ένα σύνολο, και η αντιμετώπιση περιστατικών δεν είναι ανεξάρτητη από τα υπόλοιπα. Ένα περιστατικό που επηρεάζει την παροχή υπηρεσιών συχνά ενεργοποιεί το σημείο σχετικά με αντίγραφα ασφαλείας και έναν εκτάκτως διατάξει για την αποκατάσταση της παροχής υπηρεσιών; μια διαδικασία αντιμετώπισης περιστατικών που δεν αναφέρεται στο σχέδιο ανάκαμψης είναι ελλιπής. Επίσης, η αντιμετώπιση περιστατικών είναι το κομμάτι που κλείνει την πολιτική για την ανάλυση κινδύνου και την ασφάλεια συστημάτων πληροφοριών: η ανάλυση κινδύνου προβλέπει τι μπορεί να πάει στραβά, η αντιμετώπιση περιστατικών ρυθμίζει τι συμβαίνει αν πάει στραβά. Ένας πελάτης που ρωτά για τη διαδικασία, ελέγχει λοιπόν σιωπηρώς αν αυτά τα δύο συνδέονται μεταξύ τους.