Communication
Coordonner la communication pendant et après les incidents.
Communication est défini par le résultat NIST CSF 2.0 RS.CO-03 (Information is shared with designated internal and external stakeholders). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, CIS v8.1, CMMC, 800-53 et NIS2. Éditorial Mis en correspondance de manière éditoriale dans SOC 2, DORA et CPS 234. Seulement faiblement liés dans PCI DSS et HIPAA. Aucune correspondance dans nos données Aucune correspondance dans nos données pour GDPR, Essential Eight et Cyber Essentials.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | RS.CO-03 | Information is shared with designated internal and external stakeholders | Définition du sujet | RS.CO-03 |
| ISO 27001 | A.5.6Clause 7.4 | Contact with special interest groups; Communication | Correspondance | A.5.6: Contact with special interest groups (information sharing); not linked to RS.CO-03 in the OLIR mapping. Clause 7.4: via RS.CO-03 |
| CIS v8.1 | CIS 17.2CIS 17.6 | Establish and Maintain Contact Information for Reporting Security Incidents; Define Mechanisms for Communicating During Incident Response | Correspondance | CIS 17.2: via RS.CO-03 CIS 17.6: Communication mechanisms during incident response; CIS's crosswalk links it to recovery subcategories only. |
| SOC 2 | CC2.3 | Communication with external parties | Éditorial | CC2.3: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.8.212.8.412.10.112.10.6 | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (RS.CO-03) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| CMMC | IR.L2-3.6.2 | Incident Reporting | Correspondance | IR.L2-3.6.2: via 800-171r3 03.06.02 ↔ RS.CO-03 → IR-7; 800-171r2 Appendix D → IR-7 |
| 800-53 | IR-7 | Incident Response Assistance | Correspondance | IR-7: via RS.CO-03 |
| HIPAA | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)§164.314(a)(2)(i)§164.314(a)(2)(iii)§164.314(b)(2)(iv) | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (RS.CO-03) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| GDPR | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence GDPR n'est mise en correspondance avec ce thème dans nos données. |
| NIS2 | 4.3 | Crisis management | Correspondance | 4.3: via RS.CO-03 |
| Essential Eight | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Essential Eight n'est mise en correspondance avec ce thème dans nos données. |
| DORA | Art.14(1)Art.14(2)Art.17(3)(d) | Communication; Communication; ICT-related incident management process | Éditorial | Art.14(1): Crisis communication plans for responsible disclosure of major incidents to clients, counterparts and the public. Art.14(2): Communication policies for internal staff and external stakeholders. Art.17(3)(d): Plans for communication to staff, external stakeholders, media and clients. |
| CPS 234 | Para 25 | Response plans cover all stages and escalation | Éditorial | Para 25: Escalation and reporting of incidents to the Board and others responsible for oversight. |
| Cyber Essentials | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Cyber Essentials n'est mise en correspondance avec ce thème dans nos données. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Communication
La communication sur incident garantit que toutes les parties prenantes, y compris les équipes internes, la direction générale, les clients, les régulateurs et les services de police, reçoivent des informations opportunes et exactes pendant et après un incident de cybersécurité. Des plans de communication établis à l'avance doivent définir les seuils de notification, les rôles des porte-parole, les canaux de communication approuvés et les modèles de messages pour les différents types d'incidents et publics. Les exigences réglementaires, telles que la notification de violation sous 72 heures prévue par le RGPD (GDPR), les règles de divulgation de la SEC et les lois des États en matière de notification de violation, font de la planification structurée de la communication une nécessité juridique plutôt qu'une simple bonne pratique.