Notificación
Notificar incidentes a las partes interesadas y a las autoridades.
Notificación se define por el resultado de NIST CSF 2.0 RS.CO-02 (Internal and external stakeholders are notified of incidents). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, PCI DSS, CMMC, 800-53, HIPAA y NIS2. Editorial Con correspondencia editorial en CIS v8.1, SOC 2, GDPR, Essential Eight, DORA y CPS 234. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para Cyber Essentials.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | RS.CO-02 | Internal and external stakeholders are notified of incidents | Definición del tema | RS.CO-02 |
| ISO 27001 | A.5.5A.6.8 | Contact with authorities; Information security event reporting | Correspondencia | A.5.5: via NIST 800-53 map: IR-6 A.6.8: via NIST 800-53 map: IR-6 |
| CIS v8.1 | CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | Editorial | CIS 17.3: Enterprise process for reporting incidents; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC2.3 | Communication with external parties | Editorial | CC2.3: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.10.1 | Incident response plan ready to activate | Correspondencia | 12.10.1: via RS.CO-02 |
| CMMC | IR.L2-3.6.2 | Incident Reporting | Correspondencia | IR.L2-3.6.2: via 800-171r3 03.06.02 ↔ RS.CO-02 → IR-6; 800-171r2 Appendix D → IR-6 |
| 800-53 | IR-6 | Incident Reporting | Correspondencia | IR-6: via RS.CO-02 |
| HIPAA | §164.308(a)(6)(ii) | Response and Reporting | Correspondencia | §164.308(a)(6)(ii): via NIST HIPAA map: IR-6 |
| GDPR | Art.33(1)Art.34(1) | Notification of a personal data breach to the supervisory authority; Communication of a personal data breach to the data subject | Editorial | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 3.3 | Event reporting | Correspondencia | 3.3: via RS.CO-02; ENISA ISO map: A.6.8 |
| Essential Eight | ISM-0123ISM-0140 | Cyber security incidents are reported to the chief information security officer, or one…; Cyber security incidents are reported to ASD as soon as possible after they occur or… | Editorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.19(1)Art.19(4)Art.19(3)Art.18(1) | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats; Reporting of major ICT-related incidents and voluntary notification of significant cyber threats; Reporting of major ICT-related incidents and voluntary notification of significant cyber threats… | Editorial | Art.19(1): Report major ICT-related incidents to the competent authority. Art.19(4): An initial notification, intermediate reports and a final report. Art.19(3): Inform clients without undue delay when a major incident affects their financial interests. Art.18(1): The classification criteria decide which incidents are major and therefore reportable. |
| CPS 234 | Para 35Para 36 | Notify APRA of material incidents within 72 hours; Notify APRA of material control weaknesses within 10 business days | Editorial | Para 35: Notify APRA within 72 hours of becoming aware of a material information security incident. Para 36: Notify APRA within 10 business days of a material control weakness that can't be remediated in time. |
| Cyber Essentials | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Cyber Essentials está asignado a este tema en nuestros datos. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Notificación
La notificación de incidentes garantiza que los eventos de ciberseguridad se documenten y se comuniquen a las partes interesadas internas pertinentes, a los organismos reguladores y a las fuerzas del orden, según lo exijan las leyes aplicables y las obligaciones contractuales. Los informes deben incluir cronologías del incidente, los sistemas y datos afectados, las acciones de contención adoptadas, el análisis de causa raíz y los pasos de remediación. Las organizaciones deben mantenerse al tanto de todos los requisitos de notificación aplicables, incluidas las normativas específicas de cada sector, como las reglas de notificación de brechas de HIPAA, los requisitos de notificación de CISA para infraestructuras críticas y los compromisos contractuales de nivel de servicio (SLA) con clientes y socios.