Kas on olemas protseduur turvalisusprobleemide käsitlemiseks?

Incidendihaldus on üks kümnest kohustuslikust meetmest

Jah, ja see küsimus testib konkreetselt teist kümne meetmest artikli 21 lõige 2 NIS2 kohaselt: "incidendihaldus" on loetletud riskianalüüsi kõrval omaette kategooriaks. Kes selle küsimuse saab, peab näitama mitte ainult seda, et protseduur olemas on, vaid ka seda, mis selle sisus on: kuidas intsidenti teatakse, kes selle kätte võtab, millised sammud astutakse ja kuidas fikseeritakse, mis juhtus. Protseduuri, millel pole omanikku või pole määratud samme, ei veena auditor, isegi kui dokument olemas on.

Konkreetne tõendus on tavaliselt protseduuride kirjeldus või juhendmaterjal, mis sisaldab incidentide klassifitseerimist (raskusaste, mõju), teatamispunkti või kontaktisikut ning sammu hilisemaks hindamiseks. See hindamine ei ole dekoratiivne: ilma fikseeritud viisita sündmuste süsteemides registreerimiseks ja säilitamiseksei ole alust, et intsidenti taastada või tõendada, et see on käsitletud. Kui protseduur puudub, siis "ei, arendamisel" on ausam vastus kui väljamõeldud protseduur — küsimustik küsib, mis olemas on, mitte intentsioonide järgi.

Kuidas see seostub järjepidevusega ja riskianalüüsiga

Artikli 21 lõige 2 loetleb kümme meetet ühtse tervikuna ja incidendihaldus ei ole muust eraldiseisev. Intsident, mis puudutab teenuse osutamist, aktiveerib sageli punkti varukoopiate ja avariilise teenuse osutamise taastamisega; incidendihalduse protseduur, mis ei viita taastamisplaanile, on puudulik. Samuti on incidendihaldus riskianalüüsi ja infosüsteemide turvamise poliitika viimane peatükk: riskianalüüs ennustab, mis võib valesti minna, incidendihaldus reguleerib, mis juhtub, kui see siiski juhtub. Klient, kes protseduuri kohta küsib, kontrollib seega kaudselt, kas need kaks omavahel kooskõlas on.