Existuje postup pro řešení bezpečnostních incidentů?

Zpracování incidentů je jedním z deseti povinných opatření

Ano, a tato otázka konkrétně testuje druhé ze deseti opatření podle článku 21 odst. 2 NIS2: "zpracování incidentů" je uvedeno přímo vedle analýzy rizik jako samostatná kategorie. Kdo dostane tuto otázku, nesmí tedy pouze říci, že postup existuje, ale musí také ukázat, co v něm je obsaženo: jak se incident hlásí, kdo se ho chopí, které kroky se podniknou a jak se zaznamenává, co se stalo. Postup bez vlastníka nebo bez zdokumentovaných kroků neuspokojí auditora, i když dokument existuje.

Konkrétní důkaz je obvykle popis procesu nebo runbook, který obsahuje klasifikaci incidentů (závažnost, dopad), hlásící místo nebo kontaktní osobu a krok pro posouzení po skončení. Toto posouzení není dekorativní: bez ustáleného způsobu, jak zaznamenaných a uchovávaných událostí v systémech, není žádný základ pro rekonstrukci incidentu nebo prokázání, že byl vyřešen. Pokud postup chybí, pak je "ne, ve vývoji" poctivější odpovědí než vymyšlený postup, který neexistuje — otázka se ptá na to, co je, nikoli na záměr.

Jak to souvisí se kontinuitou a analýzou rizik

Článek 21 odst. 2 obsahuje deset opatření jako celek, a zpracování incidentů není izolované od zbytku. Incident, který ovlivní poskytování služeb, často aktivuje bod o zálohách a nouzovém zajištění pro obnovení poskytování služeb; postup zpracování incidentů, který neodkazuje na plán obnovy, je nekompletní. Zpracování incidentů je také závěrečným prvkem politiky analýzy rizik a bezpečnosti informačních systémů: analýza rizik předvídá, co může selhat, zpracování incidentů řeší, co se stane, pokud to přesto selže. Zákazník, který se na postup ptá, tedy implicitně ověřuje, zda tyto dva body na sebe navazují.