ГОСТ Р ИСО/МЭК ТО 18044—2007
в случае отсутствия контроля над инцидентами ИБ с инициированием антикризисных действий
(например, вызов пожарной команды или активизация плана обеспечения непрерывности бизнеса),
с детализацией дальнейшей оценки и (или), если потребуется, дальнейших решений, с
проверкой правильности регистрации всей деятельности для дальнейшего анализа, с
обновлением базы данных событий/инцидентов ИБ.
В программе менеджмента инцидентов ИБ предусматривается возможность как немедленного,
так и более длительного реагирования на инциденты ИБ. Для всех инцидентов ИБ требуется своевре
менная оценка потенциальных негативных воздействий, как кратковременных, так и более длительных
(например, крупномасштабное бедствие может произойти через некоторое время после первого инци
дента ИБ). Более того, некоторые виды реагирования могут потребоваться для совершенно непредви
денных инцидентов ИБ. когда возникнет необходимость в специальных защитных мерах. Даже в такой
ситуации в документации программыдолжны содержаться общие рекомендации подействиям, которые
могут стать необходимыми:
- для этапа «Анализ»:
с проведением, если потребуется, дальнейшей правовой экспертизы,
с идентификацией и документированием опыта, извлеченного из инцидентов ИБ.
с определением и анализом улучшений ИБ на основе полученного опыта.
с анализом эффективности процессов и процедур реагирования на инциденты ИБ, оценкой инци
дентов ИБ и восстановления после каждого из них. а также определением улучшений программы ме
неджмента инцидентов ИБ в целом (на основе полученного опыта),
с обновлением базы данных событий/инцидентов ИБ.
- для этапа «Улучшение» — уточнение на основе полученного опыта:
с результатами анализа и менеджмента рисков ИБ.
с программой менеджмента инцидентов ИБ (например, процессами и процедурами, формой опо
вещения и (или) структурой организации).
с общей безопасностью внедрения новых и (или) улучшенных защитных мер.
с градацией шкалы серьезности событий/инцидентов (например, значительный, незначительный;
существенный, экстренный, незначительный, неэкстренный) и соответствующими руководствами,
с руководством для решения о необходимости интенсификации каждого процесса, для кого дол
жна проводиться интенсификация и в соответствии с какими процедурами. Персонал, оценивающий со
бытие или инцидент ИБ. должен знать, основываясь на руководствах из документации программы
менеджмента инцидентов ИБ. когда при нормальных обстоятельствах необходимо переходить к интен
сификации процессов идля кого. Кроме того, возможно возникновение непредвиденныхобстоятельств,
когда интенсификация процессов может стать необходимой. Например, незначительный инцидент ИБ
может перейти в категорию «существенный» или в «кризисную ситуацию» в случае его неправильной
обработки, или незначительный инцидент ИБ. не обработанный в течение недели, может стать «значи
тельным» инцидентом ИБ. В руководстве должны определяться типы событий и инцидентов ИБ, типы
интенсификации процессов и лица, которые могут ее проводить.
с необходимыми процедурами для надлежащей регистрации всех действий в соответствующей
форме и проведением анализа журнала регистрации назначенным персоналом.
с процедурами и механизмами поддержания режима контроля изменений, который включает в
себя прослеживание событий и инцидентов ИБ. обновление отчета об инцидентах ИБ иобновление са
мой программы.
с процедурами правовой экспертизы,
с процедурами и руководством по использованию систем обнаружения вторжений (СОВ), обеспе
чивающими соблюдение связанных с ними правовых и нормативных аспектов (см. 5.2.3). Руководство
должно включать в себя рассмотрение преимуществ и недостатков действий по наблюдению за зло
умышленником. Дополнительная информация по системам обнаружения вторжений (СОВ) содержится в
ИСО/МЭК ТО 15947 (2] и ИСО/МЭК ТО 18043 [3],
со структурой организации программы,
с компетенцией и обязанностями членов ГРИИБ в целом и ее отдельных членов,
с важной информацией о контактах группы.
7.3.4 Процедуры
Передтем как приступитьк работе с программой менеджмента инцидентов ИБ. необходимо иметь
в наличии документированные и проверенные процедуры. В документации по каждой процедуре дол-
16