kaip pranešu, kad darbuotojai gali pranešti apie saugos incidentą

Vidinė pranešimo procedūra yra įrodymas, o ne ketinimas

Šis klausimas susijęs su pačiu pranešimo kanalu: ar darbuotojai gali pranešti apie incidentą viduje, ir ar tai iš tikrųjų vyksta. Tai yra kažkas kita nei klausimas, ar organizacija registruoja ar tvarko incidentus — tai priklauso procedūrą saugumo incidentams tvarkyti. Čia klientas nori žinoti, ar yra žema prieigų pakopa, žinomas būdas, kuriuo darbuotojas gali ką nors pakelti: el. pašto adresą, bilietų sistemą, vardą intranetoje. Todėl įrodymas – tai ne pati procedūra, bet konkretus kanalas ir kažkas, kas parodo, kad darbuotojai žino apie tą kanalą – intranetinio ekrano kopija, ištrauka iš įdarbinimo dokumento arba mokymo skaidrė.

Jei to nesi atskirai užfiksavęs, tai "ne" arba "iš dalies" yra sąžiningas atsakymas, net jei iš tiesų egzistuoja incidento procedūra, kurią naudoja tik IT komanda. Nepildyk "taip" remiantis tik procedūra; klausimas patikrina žinomumą ir prieinamumą, o ne tik procesą. Jei yra atitinkama mokymo programa, skirta saugumui ir konciozinei naudoti, kurioje kalbama apie pranešimo kanalą, tai dažnai yra stipriausias įrodymas – palygink jį su mokymu iš pagrindinių kibernetinio saugumo praktikos, nes tie du atsakymai turi būti vienas kitam suderinami. Jei jie neatitinka vienas kito, tai bus pastebėta greičiau atlikus auditą, nei jei trūktų vieno įrodymų documento.

Kur tai gaunasi: 21 straipsnio 2 dalis ir A priedas

Šis reikalavimas kyla iš NIS2 direktyvos 21 straipsnio 2 dalies, kurioje incidentų tvarkymas yra vienas iš dešimties privalomų priemonių; Kibernetinio saugumo įstatymas tai perima į Lietuvos teisę nuo 2026 m. rugpjūčio 15 d. ISO/IEC 27001 tai detalizuoja A priede iki pranešimo kanalų ir sąmoningumo lygio, ir klientai, kurie naudoja ISO klausimyną, dažnai tiesiogiai prašo to A priedo kontrolės punkto. Jei organizacija pati yra sertifikuota, šis įrodymas paprastai jau yra paruoštas — žr. ISO 27001 sertifikatas kaip tai padaryti įrodomomai.