Persyaratan respons insiden dibandingkan lintas kerangka kerja
Respons insiden adalah salah satu dari lima topik yang diwajibkan oleh setiap kerangka kerja. Rencananya tampak serupa; tenggat waktu pelaporannya tidak. Berikut perbandingannya.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
Respons insiden adalah bagian dari inti bersama: setiap kerangka kerja yang kami petakan mewajibkannya. Inti persyaratannya sama di mana pun: sebuah rencana, orang-orang yang memahami peran mereka, dan cara untuk mendeteksi, membatasi, memulihkan, serta belajar dari insiden. Perbedaannya terletak pada pengujian dan, yang terpenting, pada kepada siapa Anda harus memberi tahu, dan seberapa cepat.
Siapa mewajibkan apa
| Kerangka kerja | Respons Insiden | Tautan |
|---|---|---|
| NIST CSF 2.0 | RS.MA-01RS.MA-02RS.MA-03RS.MA-04ID.IM-04 | Definisi topik |
| ISO 27001 | A.5.24A.5.25A.5.26 | Crosswalk |
| CIS v8.1 | CIS 17.1CIS 17.4CIS 17.5CIS 17.7CIS 17.9 | Crosswalk |
| SOC 2 | CC7.4CC7.3 | Editorial |
| PCI DSS | 12.10.112.10.312.10.212.10.4 | Crosswalk |
| CMMC | IR.L2-3.6.1IR.L2-3.6.3 | Crosswalk |
| 800-53 | IR-4IR-8IR-2IR-3 | Crosswalk |
| HIPAA | §164.308(a)(6)§164.308(a)(6)(ii) | Crosswalk |
| GDPR | Art.33(1)Art.33(5) | Editorial |
| NIS2 | 3.13.5 | Crosswalk |
| Essential Eight | ISM-1819 | Editorial |
Detail lengkap dan alasan untuk setiap tautan: Respons Insiden di seluruh kerangka kerja →
Rencana
Setiap kerangka kerja mengharapkan kapabilitas respons insiden yang terdokumentasi: kontrol perencanaan, penilaian, dan respons manajemen insiden ISO 27001 (A.5.24 sampai A.5.26), evaluasi dan respons terhadap insiden SOC 2 (CC7.3, CC7.4), rencana respons insiden PCI DSS (12.10.1), penanganan insiden CMMC (IR.L2-3.6.1), prosedur insiden keamanan HIPAA (§164.308(a)(6)), serta kebijakan dan respons penanganan insiden NIS2 (poin 3.1 dan 3.5). Isinya konsisten: peran, tingkat keparahan, eskalasi, penahanan, pemberantasan, pemulihan, dan pelajaran yang diperoleh.
Pengujian
PCI DSS adalah satu-satunya yang menetapkan frekuensi tetap: meninjau dan menguji rencana minimal setahun sekali (12.10.2), serta melatih orang-orang yang menjalankannya (12.10.4). CMMC dan SP 800-53 mewajibkan pengujian kapabilitas (IR.L2-3.6.3, IR-3) dengan frekuensi yang Anda tentukan sendiri. CIS meminta latihan rutin (17.7). ISO 27001 dan SOC 2 mengharapkan bukti bahwa rencana tersebut berfungsi tanpa menetapkan jadwal; latihan meja (tabletop) tahunan adalah jawaban yang umum.
Tenggat waktu pelaporan
Di sinilah kerangka kerja benar-benar berbeda:
| Kerangka kerja | Kepada siapa Anda memberi tahu | Tenggat waktu |
|---|---|---|
| NIS2 | CSIRT atau otoritas yang berwenang | Peringatan dini dalam 24 jam; notifikasi dalam 72 jam; laporan akhir dalam satu bulan |
| GDPR | Otoritas pengawas (pelanggaran data pribadi) | Dalam 72 jam sejak mengetahui (Pasal 33) |
| GDPR | Individu terdampak, jika risikonya tinggi bagi mereka | Tanpa penundaan yang tidak semestinya (Pasal 34) |
| CMMC / DFARS | Departemen Pertahanan AS | Dalam 72 jam, berdasarkan klausul DFARS 252.204-7012 |
| HIPAA | Individu terdampak (Breach Notification Rule) | Tanpa penundaan yang tidak wajar, paling lambat 60 hari |
| PCI DSS | Merek pembayaran dan acquirer | Sesuai prosedur masing-masing merek (12.10.1) |
| ISO 27001, SOC 2 | Tidak ada tenggat waktu regulasi | Rencana dan kontrak Anda yang menentukan |
Satu insiden dapat memicu beberapa tenggat sekaligus. Serangan ransomware terhadap penyedia cloud di UE yang menyimpan data pribadi dan memproses pembayaran kartu dapat memulai proses NIS2, GDPR, dan merek pembayaran dalam satu jam yang sama.
Poin utama
- Setiap kerangka kerja mewajibkan rencana respons insiden; isinya konsisten.
- Tenggat waktu pelaporan sangat berbeda, dari 24 jam pada NIS2 hingga 60 hari pada HIPAA.
- Satu insiden dapat memulai beberapa tenggat; satu koordinator sebaiknya memegang semuanya.
Yang harus dilakukan
- Susun satu rencana yang memenuhi persyaratan isi paling ketat, dan daftar setiap kewajiban notifikasi yang berlaku bagi Anda, beserta tenggat waktu, penerima, dan penanggung jawabnya.
- Tentukan siapa yang menilai signifikansi. Tenggat 24 jam NIS2 dimulai saat Anda mengetahui adanya insiden signifikan; keputusan ini tidak bisa menunggu hari Senin.
- Uji minimal setahun sekali (aturan PCI dapat dijadikan acuan yang baik), termasuk skenario di luar jam kerja.
- Simpan catatan setiap insiden dan pelanggaran, baik yang dinotifikasi maupun tidak: GDPR mewajibkannya (Pasal 33(5)), dan setiap auditor pasti akan menanyakannya.
Halaman topik Respons Insiden memuat setiap persyaratan beserta sumbernya; topik Pelaporan membahas notifikasi. Panduan NIS2 kami membahas prosedur pelaporan secara lebih rinci.
Pertanyaan
Apa saja tenggat waktu pelaporan insiden berdasarkan NIS2?
Peringatan dini dalam 24 jam sejak mengetahui adanya insiden signifikan, notifikasi insiden dalam 72 jam, dan laporan akhir dalam satu bulan.
Seberapa sering rencana respons insiden harus diuji?
PCI DSS mewajibkan peninjauan dan pengujian minimal setahun sekali (12.10.2). CMMC dan SP 800-53 mewajibkan pengujian kapabilitas respons insiden (IR.L2-3.6.3, IR-3). ISO 27001 dan SOC 2 mengharapkan pengujian tetapi menyerahkan frekuensinya kepada Anda.
Apakah ISO 27001 menetapkan tenggat waktu pelaporan insiden?
Tidak. ISO 27001 mewajibkan manajemen insiden, termasuk pelaporan kejadian secara internal dan penanganannya, tetapi tidak ada tenggat waktu notifikasi regulasi. Tenggat waktu berasal dari undang-undang (NIS2, GDPR), kontrak, dan aturan sektor.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkanCyber Essentials milik Inggris dan Essential Eight milik Australia sama-sama menargetkan serangan umum, tetapi keduanya mencakup wilayah yang berbeda. Apa yang tumpang tindih, apa yang tidak, dan mengapa.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.