Existuje postup na riešenie bezpečnostných incidentov?

Riešenie incidentov je jedným z desiatich povinných opatrení

Áno, a táto otázka skúša špecificky druhé z desiatich opatrení z článku 21 ods. 2 NIS2: "riešenie incidentov" je doslova uvedené vedľa analýzy rizík ako samostatná kategória. Kto dostane túto otázku, musí nielen povedať, že procedúra existuje, ale aj ukázať, čo v nej je: ako sa incident hlási, kto sa ho ujme, aké kroky sa podniknú a ako sa zaznamenáva, čo sa stalo. Procedúra bez vlastníka alebo bez zaznamenaných krokov nepresvedčí audítora, aj keď dokument existuje.

Konkrétny dôkaz je zvyčajne popis postupu alebo runbook, s klasifikáciou incidentov (závažnosť, dopad), miestom hlásenia alebo kontaktnou osobou a krokom na vyhodnotenie po skončení. Toto vyhodnotenie nie je dekoratívne: bez pevného spôsobu ako zaznamenávať a uchovávať udalosti v systémoch, nie je základ na rekonštrukciu incidentu alebo na dôkaz, že bol vyriešený. Ak procedúra ešte chýba, potom je "nie, vo vývoji" poctivejšia odpoveď ako vymýšľať procedúru, ktorá neexistuje — zoznam otázok sa pýta na to, čo existuje, nie na zámeru.

Ako to súvisí s kontinuitou a analýzou rizík

Článok 21 odsek 2 uveduje desať opatrení ako jeden celok, a riešenie incidentov nie je oddelené od zvyšku. Incident, ktorý sa dotkne poskytovania služby, často aktivuje bod o zálohách a núdzovom opatrení na obnovenie poskytovania služby; procedúra riešenia incidentov, ktorá neodkazuje na plán obnovy, je neúplná. Riešenie incidentov je tiež korunou politiky analýzy rizík a bezpečnosti informačných systémov: analýza rizík predpovedá, čo môže zlyhať, riešenie incidentov riadi, čo sa stane, ak zlyhá. Klient, ktorý sa pýta na procedúru, implicitne kontroluje, či tieto dva body na seba nadväzujú.