Notificação
Notificar incidentes às partes interessadas e às autoridades.
Notificação é definido pelo resultado do NIST CSF 2.0 RS.CO-02 (Internal and external stakeholders are notified of incidents). Correspondência Mapeado por meio de um crosswalk publicado em ISO 27001, PCI DSS, CMMC, 800-53, HIPAA e NIS2. Editorial Mapeado editorialmente em CIS v8.1, SOC 2, GDPR, Essential Eight, DORA e CPS 234. Sem mapeamento em nossos dados Sem mapeamento em nossos dados para Cyber Essentials.
| Framework | Requisito | Título | Vínculo | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | RS.CO-02 | Internal and external stakeholders are notified of incidents | Definição do tópico | RS.CO-02 |
| ISO 27001 | A.5.5A.6.8 | Contact with authorities; Information security event reporting | Correspondência | A.5.5: via NIST 800-53 map: IR-6 A.6.8: via NIST 800-53 map: IR-6 |
| CIS v8.1 | CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | Editorial | CIS 17.3: Enterprise process for reporting incidents; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC2.3 | Communication with external parties | Editorial | CC2.3: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.10.1 | Incident response plan ready to activate | Correspondência | 12.10.1: via RS.CO-02 |
| CMMC | IR.L2-3.6.2 | Incident Reporting | Correspondência | IR.L2-3.6.2: via 800-171r3 03.06.02 ↔ RS.CO-02 → IR-6; 800-171r2 Appendix D → IR-6 |
| 800-53 | IR-6 | Incident Reporting | Correspondência | IR-6: via RS.CO-02 |
| HIPAA | §164.308(a)(6)(ii) | Response and Reporting | Correspondência | §164.308(a)(6)(ii): via NIST HIPAA map: IR-6 |
| GDPR | Art.33(1)Art.34(1) | Notification of a personal data breach to the supervisory authority; Communication of a personal data breach to the data subject | Editorial | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 3.3 | Event reporting | Correspondência | 3.3: via RS.CO-02; ENISA ISO map: A.6.8 |
| Essential Eight | ISM-0123ISM-0140 | Cyber security incidents are reported to the chief information security officer, or one…; Cyber security incidents are reported to ASD as soon as possible after they occur or… | Editorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.19(1)Art.19(4)Art.19(3)Art.18(1) | Reporting of major ICT-related incidents and voluntary notification of significant cyber threats; Reporting of major ICT-related incidents and voluntary notification of significant cyber threats; Reporting of major ICT-related incidents and voluntary notification of significant cyber threats… | Editorial | Art.19(1): Report major ICT-related incidents to the competent authority. Art.19(4): An initial notification, intermediate reports and a final report. Art.19(3): Inform clients without undue delay when a major incident affects their financial interests. Art.18(1): The classification criteria decide which incidents are major and therefore reportable. |
| CPS 234 | Para 35Para 36 | Notify APRA of material incidents within 72 hours; Notify APRA of material control weaknesses within 10 business days | Editorial | Para 35: Notify APRA within 72 hours of becoming aware of a material information security incident. Para 36: Notify APRA within 10 business days of a material control weakness that can't be remediated in time. |
| Cyber Essentials | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Cyber Essentials está mapeado para este tema em nossos dados. |
Definição do tópico Resultados do CSF 2.0 que definem este tópico · Correspondência pelo menos uma escolha respaldada por um crosswalk publicado · Editorial Juízo editorial da ControlMapping, com a justificação · não mapeado, compartilha apenas os resultados do CSF deste tópico · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Metodologia.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Mapeamento incorreto ou ausente? Reportar
Sobre Notificação
A notificação de incidentes garante que os eventos de segurança cibernética sejam documentados e comunicados às partes interessadas internas apropriadas, aos órgãos reguladores e às agências de aplicação da lei, conforme exigido pelas leis aplicáveis e pelas obrigações contratuais. Os relatórios devem incluir cronogramas do incidente, sistemas e dados afetados, ações de contenção adotadas, análise de causa raiz e etapas de remediação. As organizações devem manter conhecimento de todos os requisitos de notificação aplicáveis, incluindo regulamentações específicas do setor, como as regras de notificação de violação da HIPAA, os requisitos de notificação da CISA para infraestruturas críticas e os compromissos contratuais de SLA com clientes e parceiros.