Nu orice eveniment de securitate este un incident. Evenimentele sunt întâmplări observabile — o autentificare eșuată, o conexiune blocată — în timp ce un incident este un eveniment, sau un set corelat de evenimente, evaluat ca dăunător sau potențial dăunător suficient pentru a necesita răspuns. Granița de declarare este o decizie organizațională care ar trebui definită în avans.
Declararea unui incident pornește un proces guvernat: triere, păstrarea dovezilor, izolare, eradicare, recuperare și revizuire. Unele incidente declanșează și obligații legale și de reglementare — notificarea încălcării securității datelor personale sub GDPR, raportarea sectorială sub NIS2 sau DORA ori reguli sectoriale în altă parte — fiecare cu propriile definiții și termene care nu așteaptă certitudinea tehnică.
Puncte esențiale
Criterii de declarareDefiniți care observații, severități, active afectate și impacturi transformă un eveniment sau o alertă în incident declarat și cine are autoritatea de a declara.
Praguri de mapatDefinițiile de notificare legale, de reglementare, contractuale și ale asigurătorilor pot trasa linia incidentului diferit față de criteriile interne.
Dovezi de la începutTratați declararea ca începutul unei înregistrări — marcajele temporale, acțiunile, aprobările și dovezile păstrate modelează opțiunile legale, disciplinare și de recuperare ulterioare.
Limitare importantăUn incident declarat este o determinare pentru tratare, nu o dovadă că a avut loc o compromitere. Declararea prematură poate devia resurse, iar ezitarea de a declara întârzie răspunsul și poate încălca termenele de notificare.