ГОСТ Р ИСО/МЭК ТО 18044—2007
Судебные преследования или внутренние дисциплинарные разбирательства
Для успешного судебного преследования или проведения дисциплинарных разбирательств внут
ри организации в отношении злоумышленников, независимо от того, были ли эти атаки техническими
или физическими, необходимо применять соответствующие меры защиты ИБ, включая доказуемо за
щищенные от внесения изменений журналы аудита. Для обеспечения успешного судебного преследо
вания или проведения дисциплинарных разбирательств внутри организации в отношении
злоумышленников, независимо от того, были ли эти атаки техническими или физическими, необходимо
собрать свидетельства для федеральных судов или других административных органов. Необходимо
показать, что:
- документация не подвергалась искажениям и является полной;
- копии электронного свидетельства доказуемо идентичны оригиналам;
- все системы ИТ. от которых были получены свидетельства, во время регистрации работали в
штатном режиме.
Правовые аспекты, связанные с методами мониторинга
Последствия использования методов мониторинга должны быть рассмотрены в контексте нацио
нального законодательства. Законность различных методов может меняться в зависимости от страны.
Например, в некоторых странах необходимо информировать людей о ведении мониторинга, в том чис ле
методами наблюдения. Необходимо учесть несколько факторов, определяющих, кто (что) подверга ется
мониторингу, каким образом они (оно) подвергаются мониторингу и когда проводится мониторинг.
Необходимо также отметить, что мониторинг/наблюдение в контексте систем обнаружения вторжений
(СОВ) специально рассматривается в (3].
Подготовка правил пользования информационными ресурсами и ознакомление с ними
Порядок использования информационных систем и ресурсов в организации должен быть опреде
лен, документирован и доведен до сведения всего предполагаемого персонала (например, персонал
необходимо проинформировать о допустимой политике использования и потребовать письменное под
тверждение понимания и принятия ими этой политики при устройстве на работу в организацию или
получении доступа к информационным системам).
5.2.4 Эффективность эксплуатации и качество
Эффективность эксплуатации и качество структурного подхода к менеджменту инцидентов ИБ за
виситот ряда факторов, включающих всебя обязательность уведомления об инцидентах, качество уве
домления. простоту использования, быстродействие и обучение. Некоторые из этих факторов связаны с
обеспечением осведомленности пользователейо важности менеджмента инцидентов ИБ иих мотиви
рованностью сообщать об инцидентах. Что касается быстродействия, то время, используемое на сооб
щение об инциденте ИБ, — не единственный фактор, важно также учитывать время, необходимоедля
обработки данных и распространения обработанной информации (особенно в случае с сигналами
аварийности).
Для минимизации задержексоответствующие программы обеспечения осведомленности и обуче
ния пользователейдолжны дополняться поддержкой по «горячей линии», которая обеспечивается пер
соналом. осуществляющим менеджмент инцидентов ИБ.
5.2.5 Анонимность
Вопрос обеспечения анонимности является основополагающим для успеха менеджмента инци
дентов ИБ. Пользователидолжны быть уверены, что информация об инцидентах ИБ. которую они сооб
щают. полностью защищена, а при необходимости обезличена, с тем чтобы ее невозможно было
связать с их организацией или ее подразделением без их согласия.
Система менеджмента инцидентов ИБ должна учитывать ситуации, когда важно обеспечить ано
нимность лица или организации, сообщающих о потенциальных инцидентах ИБ при особых обстоя
тельствах. У каждой организации должны быть положения, в которых четко разъяснялись бы важность
сохранения анонимности или ее отсутствия для лиц и организаций, сообщающих о потенциальном ин
циденте ИБ. ГРИИБ может потребоваться дополнительная информация, не сообщенная изначально
информирующим об инциденте лицом или организацией. Более того, важная информация об инциден те
ИБ может быть получена от первого обнаружившего его лица.
5.2.6 Конфиденциальность
В системе менеджмента инцидентов ИБ может содержаться конфиденциальная информация, и
лицам, занимающимся инцидентами, может потребоваться доступ к ней. Поэтому во время обработки
необходимо обеспечивать анонимность этой информации, или персонал должен подписать соглаше-
9