η λίστα ερωτήσεων ρωτά αν είχαμε κάποιο περιστατικό κυβερνοασφάλειας τα τελευταία χρόνια

Ένα ερώτημα περιστατικού αφορά γεγονότα, όχι εικόνα

Το ερώτημα εάν είχατε κάποιο κυβερνητικό περιστατικό τα τελευταία χρόνια, επιζητά μια αποδεικτική απάντηση: ναι ή όχι, και αν ναι, συνήθως με σύντομη εξήγηση σχετικά με τη φύση, τον αντίκτυπο και τη διαχείριση. Δεν υπάρχει σωστή ή λάθος απάντηση — ένα "ναι" με τακτική διαχείριση είναι για πολλούς πελάτες πιο αξιόπιστο από ένα αδικαιολόγητο "όχι" από έναν προμηθευτή που δεν μπορεί να παρουσιάσει τίποτα άλλο για την ασφάλειά του. Αυτό που σημαίνει: μπορείτε να τεκμηριώσετε την απάντηση;

Εάν υπήρχε ένα περιστατικό, το αποδεικτικό στοιχείο δεν είναι το ίδιο το περιστατικό αλλά η διαχείρισή του: κοινοποιήθηκε, διερευνήθηκε και παρακολουθήθηκε σύμφωνα με μια καθορισμένη διαδικασία; Αυτό ακριβώς είναι τη διαδικασία διαχείρισης περιστατικών ασφάλειας ρωτά, και οι πελάτες συνδυάζουν συχνά αυτό το ερώτημα με αυτά τα δύο. Εάν δεν υπήρχε περιστατικό, τότε το "όχι" είναι η απάντηση, ενδεχομένως με αναφορά στα μέτρα ανίχνευσης που το αποδεικνύουν — δείτε τη διαδικασία εντοπισμού και αποκατάστασης των ευπαθειών. Χωρίς μητρώο ή αρχείο περιστατικών, το "όχι" είναι ακόμα μια έγκυρη απάντηση, αλλά χωρίς υποκείμενο αποδεικτικό στοιχείο· μπορείτε να το αναφέρετε στην εξήγηση αντί να εφεύρετε ένα αποδεικτικό στοιχείο που δεν υπάρχει.

Γιατί αυτό περιλαμβάνεται στα δέκα μέτρα

Η διαχείριση περιστατικών ("incident handling") είναι ένα από τα δέκα συγκεκριμένα μέτρα που αναφέρει το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 (Οδηγία (ΕΕ) 2022/2555) ως μέρος της πολιτικής ασφάλειας μιας οντότητας. Στην ολλανδική υλοποίηση μέσω του Cybersecurity Act — που τίθεται σε ισχύ στις 15 Αυγούστου 2026 — η ίδια απαίτηση εμφανίζεται για οντότητες που εμπίπτουν στο πεδίο εφαρμογής του νόμου. Έτσι, ένα ερώτημα σχετικά με προηγούμενα περιστατικά στην πράξη είναι συχνά μια έμμεση δοκιμή του ερωτήματος εάν ο οργανισμός έχει μια διαδικασία περιστατικού, όχι μόνο το ίδιο το περιστατικό. Όποιος εφαρμόζει ISO/IEC 27001, αναγνωρίζει το ίδιο θέμα στο Annex A, στα μέτρα ελέγχου για "information security incident management".