Nie každá bezpečnostná udalosť je incident. Udalosti sú pozorovateľné javy — zlyhané prihlásenie, zablokované spojenie — zatiaľ čo incident je udalosť alebo korelovaná množina udalostí posúdená ako dostatočne škodlivá alebo potenciálne škodlivá na to, aby vyžadovala reakciu. Hranica vyhlásenia je organizačné rozhodnutie, ktoré by malo byť definované vopred.
Vyhlásenie incidentu spúšťa riadený proces: triáž, zachovanie dôkazov, zadržanie, eradikáciu, obnovu a preskúmanie. Niektoré incidenty tiež spúšťajú právne a regulačné povinnosti — notifikáciu narušenia osobných údajov podľa GDPR, sektorové hlásenie podľa NIS2 alebo DORA, alebo sektorové pravidlá inde — každá s vlastnými definíciami a lehotami, ktoré nečakajú na technickú istotu.
Kľúčové body
Kritériá vyhláseniaDefinovať, ktoré pozorovania, závažnosti, dotknuté aktíva a dopady posúvajú udalosť alebo upozornenie do stavu vyhláseného incidentu, a kto má právomoc vyhlasovať.
Prahy na mapovaniePrávne, regulačné, zmluvné a poisťovateľské definície notifikácie môžu kresliť hranicu incidentu odlišne od interných kritérií.
Dôkazy od začiatkuPristupovať k vyhláseniu ako k začiatku záznamu — časové pečiatky, akcie, schválenia a zachované dôkazy formujú neskoršie právne, disciplinárne a obnovové možnosti.
Dôležité obmedzenieVyhlásený incident je rozhodnutie pre spracovanie, nie dôkaz, že kompromitácia nastala. Predčasné vyhlásenie môže odviesť prostriedky, zatiaľ čo neochota vyhlasovať oneskoruje reakciu a môže porušiť notifikačné lehoty.