Musím poslať náš plán obnovy ako dokument zákazníkovi

Zvyčajne nie celý dokument, ale základné údaje

Nie, vo väčšine prípadov nie je potrebné pripojiť kompletný plán reakovania na incidenty. Portály, ktoré sa pýtajú na reakovanie na incidenty — súčasť postupom na spracovanie bezpečnostných incidentov — zvyčajne chcú vedieť alebo či existuje postup, kto je zodpovedný a v akom čase sa incident eskaluje a hlási. Sú to otázky, na ktoré odpovedáte s áno/nie a krátke vysvetlenie, nie s kompletným scenárom vrátane kontaktných stromov a názvov systémov.

Existujú dve situácie, v ktorých sa príloha požaduje: ak má klient explicitne stanovený typ otázky "nahrajte váš plán reakovania na incidenty" alebo ak ide o audit, ktorý vyžaduje dôkazy. V takom prípade je stručná verzia — jedna stránka s rozsahom, úlohami, lehotami na oznámenie a eskalačnými cestami, bez citlivých technických podrobností — často dostatočná. To, či je potrebný úplný plán alebo zhrnutie, vyplýva z vlastného textu otázky; ak tam stojí "popíšte" namiesto "nahrajte", je textová odpoveď vhodnejšia ako príloha.

Prečo toto rozlíšenie existuje: článok 21 ods. 2 NIS2

Článok 21 ods. 2 smernice NIS2 spomína zaobchádzanie s incidentmi ako jedno z desiatich povinných opatrení, ale nestanovuje formu dokumentu — smernica vyžaduje proces, nie špecifický formát nahrávania. ISO/IEC 27001 Príloha A to rozpracúva na opatrenia riadenia týkajúce sa odozvy a obnovenia, a tam vidíte rovnaký vzor: norma kontroluje, či proces existuje a funguje, nie či existuje jeden jasne vymedzený dokument s názvom "plán odozvy na incidenty". To vysvetľuje, prečo sú väčšina portálov spokojná s popisom v poli odpovede, a prečo je príloha potrebná len ak otázka to doslova vyžaduje. Ak ste proces ešte nezaznamenali, často je ľahšie najskôr politiku analýzy rizík a bezpečnosti informácií uviesť do poriadku — zaobchádzanie s incidentmi na tom zvyčajne nadväzuje.