hogyan jelzem azt, hogy az alkalmazottak jelenthetnek egy biztonsági incidenst

A belső bejelentési útvonal a bizonyíték, nem pedig egy szándék

Ez a kérdés magára a bejelentési csatornára vonatkozik: az alkalmazottak bejelenthetik-e a belsőleg egy incidenst, és valóban megtörténik-e. Ez valami más, mint az a kérdés, hogy a szervezet regisztrálja vagy kezeli-e az incidenseket — ez a következőhöz tartozik: biztonsági incidensek kezelésének eljárásához. Itt az ügyfél kifejezetten azt akarja tudni, hogy van-e egy alacsony küszöbű, ismert útvonal, amelyen keresztül egy alkalmazott valamit felvethet: egy e-mail cím, egy jegyrendszer, egy név az intraneten. A bizonyíték tehát nem az eljárás egésze, hanem az konkrét csatorna, plusz valami, amely azt mutatja, hogy az alkalmazottak ismerik ezt a csatornát — az intranet képernyőképe, egy részlet az onboarding dokumentumból, vagy egy képzési dia.

Ha ezt külön nem dokumentáltad, akkor a "nem" vagy a "részben" az őszinte válasz, még akkor is, ha létezik egy incidenskezelési eljárás, amelyet csak az IT-csapat használ. Ne írj be "igen"-t csak az eljárás alapján; a kérdés a tudatosságot és az elérhetőséget teszteli, nem pusztán a folyamatot. Ha van tudatosságfejlesztő képzés, amely a bejelentési csatornát tárgyalja, az gyakran a legerősebb bizonyíték — ellenőrizd azt a kiberbiztonsági higiénia alapgyakorlatainak képzésévelszemben, mert ennek a két válasznak egymással konzisztensnek kell lennie. Ha nem egyezik egymással, az egy auditfeltárásban hamarabb felmerül, mint egy egyetlen hiányzó bizonyíték.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

Ez a követelmény a NIS2-irányelv 21. cikk (2) bekezdéséből ered, ahol az incidenskezelés az tíz kötelező intézmény egyike; a Kiberbiztonsági törvény ezt 2026. augusztus 15-ig transzponálja a magyar jogba. Az ISO/IEC 27001 ezt az A mellékletben kifejtette a bejelentési csatornák és tudatosság szintjéig, és az ISO-kérdőívvel dolgozó ügyfelek gyakran szó szerint az A melléklet-kontrolpontot kérdezik. Ha a szervezet maga tanúsított, akkor ez a bizonyíték általában már kész van — lásd szervezet ISO 27001-tanúsítványa hogy hogyan lehet ezt bizonyíthatóan igazolni.