Ne každá bezpečnostní událost je incident. Události jsou pozorovatelné výskyty — neúspěšné přihlášení, zablokované spojení — zatímco incident je událost, nebo korelovaná sada událostí, hodnocená jako dostatečně škodlivá či potenciálně škodlivá na to, aby vyžadovala reakci. Hranice vyhlášení je organizační rozhodnutí, které by mělo být definováno předem.
Vyhlášení incidentu startuje řízený proces: triage, zachování důkazů, zadržení, eradikace, obnova a revize. Některé incidenty také spouštějí právní a regulační povinnosti — oznámení porušení osobních údajů podle GDPR, sektorové hlášení podle NIS2 či DORA, nebo sektorální pravidla jinde — každé s vlastními definicemi a lhůtami, které nečekají na technickou jistotu.
Klíčové body
Kritéria vyhlášeníDefinujte, která pozorování, závažnosti, dotčená aktiva a dopady přesouvají událost či výstrahu do stavu vyhlášeného incidentu, a kdo má autoritu vyhlásit.
Prahy k mapováníPrávní, regulační, smluvní a pojistitelné definice oznámení mohou každá kreslit hranici incidentu odlišně od interních kritérií.
Důkazy od začátkuPovažujte vyhlášení za počátek záznamu — časová razítka, akce, schválení a zachované důkazy formují pozdější právní, disciplinární a obnovovací možnosti.
Důležité omezeníVyhlášený incident je určení pro řešení, nikoli důkaz, že kompromitace nastala. Předčasné vyhlášení může odklonit prostředky, zatímco neochota vyhlašovat zpožďuje reakci a může porušit lhůty oznámení.