kuidas ma täidan, et töötajad saavad teatada turvaintsidentist

Sisemine teatamiskanal on tõendusmaterjal, mitte kavatsus

See küsimus käsitleb teatamiskanali ennast: kas töötajad saavad insidenti siseselt teatada ja kas see tegelikult aset leiab. See erineb küsimusest, kas organisatsioon insidente registreerib või käsitleb — see kuulub turvalisusincidendi käsitlemise menetlusestSiin soovib klient teada, kas on olemas madala lävega, hästi teada olevat viisi, kuidas töötaja saab millegi esile tuua: e-posti aadress, piletisüsteem, intraneti nimi. Tõendusmaterjal pole seega kogu protseduur, vaid konkreetne kanal ja miski, mis näitab, et töötajad seda kanalit tunnevad — intraneti kuvatõmmis, onboarding-dokumendi väljavõte või koolitusslaid.

Kui sa seda eraldi pole fikseerinud, siis on "ei" või "osaliselt" aus vastus, isegi kui küll on olemas insidenditeprotseduur, mida kasutab ainult IT-meeskond. Ära sisesta "jah" pelgalt protseduuri alusel; küsimus kontrollib teadlikkust ja kättesaadavust, mitte ainult protsessi. Kui on teadlikkuse koolitust, mis käsitleb teatamiskanali, siis on see sageli kõige tugevam tõendusmaterjal — kontrolli seda vastu põhipraktikate koolitusele küberturvalisuse küsimusessest need kaks vastust peavad üksteisega ühte meelt olema. Kui see klapib, siis märkab auditit proovivõtusel kiiremini kui ühe puuduoleva tõendusmaterjali.

Kust see pärineb: artikkel 21 lõige 2 ja Lisa A

See nõue pärineb NIS2-direktiivi artiklist 21 lõikest 2, kus insidendikäsitlemine on üks kümnest kohustuslikust meetmest; Kübernõukogu seadus rakendab selle Eesti õigusesse alates 15. augustist 2026. ISO/IEC 27001 töötab selle välja Lisa A tasandil kuni teatamiskanade ja teadlikkuseni, ja kliendid, kes kasutavad ISO-küsimustikut, küsivad sageli otsesõnu selle Lisa A kontrollpunktist. Kui organisatsioon ise on sertifitseeritud, siis on see tõendusmaterjal tavaliselt juba käepärast — vaata organisatsiooni ISO 27001-sertifikaat kuidas seda näitavalt dokumenteerida.