เกณฑ์ประกาศเหตุการณ์มีจุดควบคุมไม่ครบ เพราะทีมถกเถียงทุกครั้งว่าเหตุผิดปกติระดับใดควรยกระดับเป็น incident ควรเพิ่มมาตรการใด
กทางเลือกเชิงกระบวนการคือ สื่อสารกิจกรรมและความคืบหน้าการฟื้นฟูแก่ผู้มีส่วนได้เสียที่กำหนด
ขข้อกำหนดที่อาจนำมาใช้คือ ประเมินทั้งโอกาสที่ภัยคุกคามใช้ช่องโหว่และผลกระทบที่อาจเกิด
คแนวปฏิบัติประกอบคือ บูรณาการการพัฒนาซอฟต์แวร์ปลอดภัยตลอดวงจรชีวิต
งกำหนดและใช้เกณฑ์ประกาศเหตุการณ์ความมั่นคงปลอดภัย
เฉลยอธิบาย
DE.AE-08 กำหนดให้ประกาศ incident เมื่อ adverse event ตรงตามเกณฑ์ที่กำหนด ดังนั้นกรณีนี้ต้อง “กำหนดและใช้เกณฑ์ประกาศเหตุการณ์ความมั่นคงปลอดภัย” ตัวเลือกอื่นเป็นผลลัพธ์ในคนละหมวดหรือคนละช่วงของวงจร และไม่แก้ข้อบกพร่องตามโจทย์โดยตรง