Nie każde zdarzenie bezpieczeństwa jest incydentem. Zdarzenia to obserwowalne wystąpienia — nieudane logowanie, zablokowane połączenie — podczas gdy incydent to zdarzenie lub skorelowany zbiór zdarzeń ocenionych jako wystarczająco szkodliwe lub potencjalnie szkodliwe, by wymagać reakcji. Granica deklaracji jest decyzją organizacyjną, którą należy zdefiniować z wyprzedzeniem.
Zadeklarowanie incydentu uruchamia zarządzany proces: triage, zachowanie dowodów, ograniczanie, eliminację, odtwarzanie i przegląd. Część incydentów uruchamia też obowiązki prawne i regulacyjne — notyfikację naruszenia danych osobowych z RODO, raportowanie sektorowe z NIS2 lub DORA albo zasady sektorowe gdzie indziej — każde z własnymi definicjami i terminami, które nie czekają na techniczną pewność.
Najważniejsze punkty
Kryteria deklaracjiZdefiniuj, które obserwacje, wagi, dotknięte zasoby i skutki przesuwają zdarzenie lub alert do statusu zadeklarowanego incydentu oraz kto ma autorytet deklarowania.
Progi do zmapowaniaDefinicje notyfikacyjne prawne, regulacyjne, kontraktowe i ubezpieczycieli mogą każdorazowo rysować linię incydentu inaczej niż kryteria wewnętrzne.
Dowody od początkuTraktuj deklarację jako początek rejestru — znaczniki czasu, działania, zatwierdzenia i zachowane dowody kształtują późniejsze opcje prawne, dyscyplinarne i odtwarzania.
Istotne ograniczenieZadeklarowany incydent to orzeczenie dla potrzeb postępowania, a nie dowód, że doszło do kompromitacji. Przedwczesna deklaracja może odciągać zasoby, a niechęć do deklarowania opóźnia reakcję i może naruszać terminy notyfikacyjne.