Kā es aizpildu, ka darbinieki var paziņot par drošības incidentu

Iekšējā ziņošanas maršruts ir pierādījums, nevis nolūks

Šis jautājums ir par pašu ziņošanas kanālu: vai darbinieki var ziņot par incidentiem iekšēji, un vai tas tiešām notiek. Tas ir atšķirīgs no jautājuma par to, vai organizācija reģistrē vai risina incidentus — tas pieder pie drošības incidentu risināšanas procedūru. Šeit klients vēlas konkrēti zināt, vai ir viegli pieejama, labi zināma ceļa, caur kuru darbinieks var izvirzīt problēmu: e-pasta adrese, biļešu sistēma, vārds intranetā. Pierādījums nav visa procedūra, bet gan konkrētais kanāls plus kaut kas, kas parāda, ka darbinieki šo kanālu zina — intraneta ekrānuzņēmums, teksts no palaišanas dokumenta vai apmācības slaids.

Ja tu to atsevišķi nepieraksti, tad "nē" vai "daļēji" ir godīgs atbilde, pat ja pastāv incidentu procedūra, ko izmanto tikai IT komanda. Nemaksā "jā" uz procedūras pamata; jautājums pārbauda apzināšanu un pieejamību, nevis tikai procesu. Ja ir apzināšanas apmācība, kas apsver ziņošanas kanālu, tas bieži ir spēcīgākais pierādījums — pārbaudiet to attiecībā pret pamatapmācību kiberdrošības higiēnē, jo šiem diviem atbildēm ir jābūt savstarpēji konsekventi. Ja tas nesakrīt, tas auditācijas parauga metodē tiek pamanīts ātrāk nekā viens trūkstošs pierādījums.

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

Šī prasība nāk no NIS2 direktīvas 21. panta 2. punkta, kur incidentu apstrāde ir viena no desmit obligātajiem pasākumiem; Kiberdroši­bas likums to transformē Nīderlandē no 2026. gada 15. augusta. ISO/IEC 27001 to att­īsta pielikumā A līdz ziņošanas kanālu un apzināšanas līmenim, un klienti, kas izmanto ISO aptauju, bieži konkrēti jautā šo pielikuma A kontroles punktu. Ja organizācija pati ir sertificēta, šis pierādījums parasti jau ir gatavs — skatīt uzņēmuma ISO 27001 sertifikāts kā to skaidri demonstrēt.