klausimynas klausia, ar turime kriziniu situaciju plana

Krizės planas priklauso verslo tęstinumui, o ne incidento reagavimui

Klausimas apie "krizės planą kompiuterinio atako atveju" praktikoje klausia apie du dalykus vienu metu, ir atsakymas priklauso nuo to, kurį iš jų turite. Pirmasis yra verslo tęstumo planas: kaip paslauga išlieka veikianti arba kaip ją atkuriate, nepaisant to, kas tiksliai nutiko. Antrasis yra incidento reagavimo planas: kas daro ką iš karto suradus kompiuterinio atako įrodymą, kas turi būti informuotas, kaip suvaldomas incidentas. Daugelis verslininkų turi antrąjį planą, o pirmojo nemano, arba priešingai, ir tada įveda "taip" į klausimą, kuris iš tiesų reikalauja abiejų.

Jei turite tik neoficialų planą — kelis susitarimus, kuriuos visi žino, bet kurie niekur nėra užrašyti — tada "ne" dažniausiai yra nuoširdžiausias atsakymas, su paaiškinimais, kad požiūris iš tiesų egzistuoja, bet nėra formalizuotas. Jei turite verslo tęstumo planą be atskiro kibernetinio saugumo komponentavimo, patikrinkite, ar jis aiškiai pavadinęs kompiuterinio atako scenarijų; jei ne, tai yra spraga, kurią klientas dažnai nurodo. Šiuo klausimu yra glaudus ryšys su ar yra atsarginės kopijos ir nenumatytos situacijos priemonė paslaugos atkūrimui ir su ar yra saugumo incidentų tvarkymo procedūra — pirmiausia atsakykite į tuos du, tada šis klausimas dažnai pats susiklostys.

Kur tai atsiranda 21 straipsnio 2 dalyje NIS2

21 straipsnio 2 dalis iš Direktyvos (ES) 2022/2555 mini "verslo tęstumą, pvz., atsarginių kopijų valdymą ir katastrofos atkūrimą, ir krizės vadybą" kaip vieną iš dešimties privalomų priemonių — todėl tęstumas ir krizės vadyba yra ten kartu, o ne kaip dvi atskiros reikalavimas. ISO/IEC 27001 B priedas turi panašią kontrolės priemonę ICT parengčiai verslo pertraukimo atveju. Nyderlandų Kibernetinio saugumo įstatymas, kuris transdakuoja šį reikalavimą, į galią įsigalioja 2026 m. rugpjūčio 15 d.