a kérdőív arra kérdez, hogy volt-e kiberincidensünk az elmúlt években

Az incidenssel kapcsolatos kérdés tényekről szól, nem a képről

Az a kérdés, hogy az elmúlt években volt-e kibertámadás, tényleges választ igényel: igen vagy nem, és igen esetén általában rövid magyarázatot az esemény természetéről, hatásáról és kezeléséről. Nincs jó vagy rossz válasz — egy eljárási rend szerinti kezeléssel együtt járó "igen" sok ügyfél számára hitelesebbnek tűnik, mint egy indoklás nélküli "nem" olyan beszállítótól, aki egyébként nem tud semmit mutatni a biztonságáról. A lényeg: alátámasztható a válasz?

Ha volt incidens, akkor a bizonyíték nem az incidens maga, hanem annak kezelése: bejelentésre, vizsgálatra és nyomon követésre került-e egy rögzített eljárás szerint? Ez pontosan az, amit biztonsági incidensek kezelésének eljárásához kérdez, és az ügyfelek ezt a kérdést gyakran kombinálják azzal a kettővel. Ha nem volt incidens, akkor a válasz "nem", szükség esetén hivatkozással az incidenst megelőző detektálási intézkedésekre — lásd a sebezhetőségek felderítésére és elhárítására irányuló folyamattal. Incidensnaplónak vagy incidensregiszternek a hiánya nem jelenti azt, hogy a válasz nem lehet "nem", de ebben az esetben alátámasztó dokumentum nélkül; ezt az indokolásban megjegyezheted ahelyett, hogy olyan bizonyítékot találnál ki, amely nem létezik.

Miért tartozik ez a tíz intézkednés közé

Az "incidentkezelés" az NIS2-irányelv (2022/2555/EU irányelv) 21. cikkének 2. bekezdésében felsorolt tíz konkrét intézkedés egyike, amely egy entitás biztonsági politikájának részeként szerepel. A Kiberbiztonságról szóló törvényen keresztül történő holland átültetésben — amely 2026. augusztus 15-én lép hatályba — ugyanez a követelmény megjelenik az erre a törvényre vonatkozó entitások számára. Ezáltal a gyakorlatban az elmúlt évekbeli incidensekről szóló kérdés gyakran közvetett teszt arra vonatkozóan, hogy az szervezetnek van-e incidensmenetrendje, nem csupán az incidensre vonatkozóan. Aki az ISO/IEC 27001 szabványt alkalmazza, ugyanezt a témát ismeri fel az A mellékletben, az "information security incident management" (információbiztonsági incidenskezelés) ellenőrzési intézkedéseinél.