onko minun lähetettävä vastesuunnitelmamme asiakirjana asiakkaalle

Yleensä ei koko asiakirjaa, mutta ydinasiat kyllä

Ei, useimmissa tapauksissa täydellinen tapauksenhallintasuunnitelma ei tarvitse liitteenä. Portaalit, jotka kysyvät tapauksenhallinnasta — osa turvallisuuspoikkeamien käsittelystä johtuvaan menettelyyn — haluavat yleensä tietää tai onko menettely olemassa, kuka on vastuussa ja missä ajassa tapaus skaalataan ja ilmoitetaan. Nämä ovat kysymyksiä, joihin vastaat kyllä/ei-vastauksin ja lyhyellä selityksellä, ei kokonaisella operatiivisella suunnitelmalla, jossa on yhteystietokaaviot ja järjestelmien nimet.

On kaksi tilannetta, joissa liitettä kyllä pyydetään: kun asiakas on nimenomaisesti laittanut "lataa tapauksenhallintasuunnitelmasi" kysymystyypiksi tai kun kyse on tarkastuskysymysluettelosta, joka edellyttää todisteita. Tällöin yhteenvetoversiosta — yhdelle sivulle laaditussa dokumentissa, jossa on laajuus, roolit, ilmoitusajat ja eskaloinnin reitit, ilman arkaluonteisia teknisiä yksityiskohtia — on usein riittävä. Vai tarvitaanko täydellinen suunnitelma vai yhteenveto, ilmenee itse kysymystekstistä; jos siinä sanotaan "kuvaa" "lataa" sijasta, tekstimuotoinen vastaus sopii paremmin kuin liite.

Miksi tämä ero on olemassa: NIS2-direktiivin 21 artiklan 2 kohta

NIS2-direktiivin 21 artiklan 2 kohta mainitsee tapaustenhallinnan yhtenä kymmenestä pakollisesta toimenpiteestä, mutta ei määrää asiakirjan muotoa — direktiivi vaatii prosessia, ei tiettyä latausmuotoa. ISO/IEC 27001 liitteessä A tätä kehitetään ohjausvälineiksi vasteeseen ja palautumiseen liittyen, ja siinä näet saman kuvion: standardi tarkastaa, onko prosessi olemassa ja toimiiko se, ei sitä, onko olemassa yksi hyvin määritelty asiakirja, jota kutsutaan "tapauksenhallintasuunnitelmaksi". Tämä selittää, miksi useimmat portaalit ovat tyytyväisiä kuvaukseen vastauskenttään, ja miksi liite on välttämätön vain silloin, kun kysymys sen nimenomaisesti vaatii. Jos prosessia ei ole vielä dokumentoitu, on usein helpompaa ensin riskianalyysin ja tietoturvapolitiikan kanssa laittaa kuntoon — tapauksenhallinta rakentuu tavallisesti sen päälle.