Incident, značajan incident i izbjegnuti incident
| Pojam | Značenje |
|---|---|
| incident | događaj koji ugrožava dostupnost, autentičnost, cjelovitost ili povjerljivost podataka ili usluga mrežnih i informacijskih sustava |
| značajan incident | incident koji je uzrokovao ili može uzrokovati ozbiljne poremećaje u pružanju usluga ili financijske gubitke za subjekt, ili znatnu materijalnu ili nematerijalnu štetu drugim osobama |
| izbjegnuti incident | događaj koji je mogao ugroziti podatke ili usluge, ali je spriječen ili se nije ostvario |
Primjeri incidenata su napad ransomwareom, neovlašteni pristup sustavu putem ukradene lozinke, distribuirani napad uskraćivanjem usluge (DDoS) i kvar zbog kojeg usluga nije dostupna.
Prijava značajnog incidenta
Ključni i važni subjekti značajan incident prijavljuju nadležnom CSIRT-u (čl. 37. Zakona o kibernetičkoj sigurnosti) u rokovima propisanima Uredbom o kibernetičkoj sigurnosti:
| Obavijest | Rok |
|---|---|
| rano upozorenje | bez odgode, a najkasnije u roku od 24 sata od saznanja |
| početna obavijest | bez odgode, a najkasnije u roku od 72 sata od saznanja |
| završno izvješće | najkasnije 30 dana od dostave početne obavijesti; ako je incident još u tijeku, umjesto njega izvješće o napretku |
Uz to:
- o značajnom incidentu obavještavaju primatelje svojih usluga na koje bi incident mogao utjecati (čl. 38.)
- ako postoje osnove sumnje da je incident nastao počinjenjem kaznenog djela, obavijest dostavljaju i tijelima kaznenog progona (čl. 37. st. 3.)
- ostale incidente, kibernetičke prijetnje i izbjegnute incidente mogu prijaviti dobrovoljno (čl. 39.)
Sigurnosni incident i povreda osobnih podataka
Ako su u incidentu pogođeni osobni podaci, riječ je i o povredi osobnih podataka. Tada voditelj obrade, neovisno o prijavi CSIRT-u, povredu prijavljuje AZOP-u u roku od 72 sata od saznanja, osim ako nije vjerojatno da će prouzročiti rizik za prava i slobode pojedinaca. Povreda osobnih podataka može nastati i bez incidenta u informacijskom sustavu, primjerice kad se izgube papirnati dokumenti.
Primjer
Privatna poliklinika, obveznik Zakona o kibernetičkoj sigurnosti, zbog napada uskraćivanjem usluge četiri sata nema dostupan sustav za naručivanje pacijenata. Poliklinika procjenjuje da je riječ o ozbiljnom poremećaju u pružanju usluge, pa incident u roku od 24 sata ranim upozorenjem prijavljuje nadležnom CSIRT-u. Istodobno provjerava jesu li pogođeni osobni podaci pacijenata i treba li povredu prijaviti AZOP-u.