klausimynas klausia, ar turėjome kibernetinio saugumo incidentą per pastaruosius metus

Incidento klausimas yra apie faktus, ne apie įvaizdį

Klausimas, ar per pastaruosius metus turėjote kibernetinio saugumo incidentą, reikalauja faktinio atsakymo: taip arba ne, o jei taip, dažniausiai reikalinga trumpa paaiškinimo apie pobūdį, poveikį ir skutimą. Nėra teisingų ar neteisingų atsakymų — "taip" su tvarkingu susidoriojimu daugeliui klientų yra patikimesnis nei bemotyvuotas "ne" iš tiekėjo, kuris negali parodyti nieko daugiau apie savo apsaugą. Svarbiausia: ar galite pagrįsti savo atsakymą?

Jei incidentas įvyko, įrodymo dokumentas nėra pats incidentas, o jo susidarkymas: ar buvo pranešta, tirti ir sekta pagal nustatytą procedūrą? Būtent tai, ką procedūrą saugumo incidentams tvarkyti klausia, ir klientai dažnai šį klausimą sujungia su abiem. Jei incidento nebuvo, tada atsakymas yra "ne", galbūt su nuoroda į nustatymo priemones, kurios tai įrodo — žr. pažeidžiamumų nustatymo ir šalinimo procesą". Be incidento registro ar žurnalo "ne" vis tiek yra galiojantis atsakymas, tačiau be jį pagrindžiančio dokumento; tai galite paminėti paaiškinimuose, o ne sugalvoti neegzistuojantį įrodymą.

Kodėl tai yra tarp dešimties priemonių

Incidento susidarkymas ("incident handling") yra viena iš dešimties konkrečių priemonių, kurias nurodo Direktyvos dėl tinklo ir informacinių sistemų saugumo (NIS2) 21 straipsnio 2 dalis (Direktyva (ES) 2022/2555) kaip subjekto saugumo politikos dalis. Nyderlandų perkeliant per Kibernetinio saugumo įstatymą — kuris įsigalios 2026 m. rugpjūčio 15 d. — ta pati reikalavimas grąžina subjektams, kurie patenka į šį įstatymą. Dėl to klausimas apie ankstesnius incidentus praktikoje dažnai yra netiesioginis testas, ar organizacija turi incidento procesą, o ne tik klausimas apie patį incidentą. Kas naudoja ISO/IEC 27001, atpažins tą pačią temą Priede A, "informacijos saugumo incidento vadybos" kontrolės priemonėse.