ГОСТ Р ИСО/МЭК ТО 18044—2007
жны указываться лица из группы эксплуатационной поддержки и (или) из ГРИИБ. ответственные за ис
пользование и менеджмент этой процедуры. Такие процедуры должны включать в себя процедуры
сбора и защищенного хранения электронных свидетельств, которые должны непрерывно контролиро
ваться на случай судебного разбирательства или дисциплинарного расследования внутри организации.
Более того, должны существовать документированные процедуры, включающие в собя не только дей
ствия группы эксплуатационной поддержки и ГРИИБ. но и процедуры, задействованные в правовой экс
пертизе и «антикризисной» деятельности, если они не задействованы где-либо еще, например, в плане
обеспечения непрерывности бизнеса. Очевидно, что эти документированные процедуры должны по
лностью соответствоватьдокументированной политике менеджмента инцидентов ИБ идругойдокумен
тации программы менеджмента инцидентов ИБ.
Необходимо иметь в виду, что но все процедуры являются общедоступными. Например, нежела
тельно. чтобы весь персонал организации знал подробности о работе ГРИИБ при взаимодействии с
ней. ГРИИБ должна обеспечивать наличие «общедоступного» руководства, включая информацию, по
лученную из результатов анализа инцидентов ИБ, которая находится в легкодоступной форме, напри
мер в интранете организации. Более того, иногда нежелательно раскрывать некоторые детали
программы менеджмента инцидентов ИБ. чтобы лицо, обладающее конфиденциальной информацией
внутри организации (инсайдер), не могло помешать процессу расследования. Например, если банков
ский служащий, присваивающий денежные средства, осведомлен о некоторых деталях программы, то
он может лучше скрывать свою деятельность от следствия или иным образом препятствовать обнару
жению и расследованию инцидента ИБ и восстановлению после него.
Содержание рабочих процедур зависит от многих критериев, особенно связанных с характером
уже известных потенциальных событий и инцидентов ИБ и типами задействованных активов информа
ционных систем и их средой. Так. некая рабочая процедура может бытьсвязана с определенным типом
инцидентов или с типом продукции (например межсетевые экраны, базы данных, операционные систе
мы. приложения), или со специфической продукцией. В каждой рабочей процедуре должно быть четко
определено, какие шаги необходимо предпринять и кем. Онадолжна отражать опыт, полученный как
из внутренних, так и внешних источников (например государственные или коммерческие КГБР.
или аналогичные группы, а также поставщики).
Для обработки уже известныхтипов событий и инцидентов ИБдолжны существовать рабочие про
цедуры. Необходимы также рабочие процедуры, которым надо следовать, если тип обнаруженного ин
цидента ИБ или события неизвестен. В этом случае рассматривают следующие аспекты:
- процесс оповещения для обработки таких «исключительных случаев»:
- указания, определяющие время для получения одобрения реагирования на инцидентсо стороны
руководства с целью избежания задержки реагирования:
- предварительно одобренное делегирование принятия решения без обычного процесса одобре
ния.
7.3.5 Тестирование программы
Для выявления потенциальных дефектов и проблем, которые могут возникнуть в процессе ме
неджмента событий и инцидентов ИБ. необходимо запланироватьрегулярные проверки итестирование
процессов и процедур менеджмента инцидентов ИБ. Любые изменения, возникающие в результатеана
лиза реагирований на инциденты ИБ. должны подвергаться строгой проверке и тестированию.
7.4 Политики менеджмента рисков и информационной безопасности
7.4.1 Назначение
Целями включения содержания менеджмента инцидентов ИБ в корпоративные политики менедж
мента рисков и ИБ и специальные политики ИБ систем, сервисов и сетей являются:
- описание значимости менеджмента инцидентов ИБ. особенно системы оповещения и обработки
инцидентов ИБ;
- указание обязанностей высшего руководства относительно надлежащей подготовки к инциден
там ИБ и реагированию на них. то есть относительно системы менеджмента инцидентов ИБ,
- обеспечение согласованности различных политик;
- обеспечение планового и систематического реагирования на инцидент ИБдля минимизации не
гативного воздействия инцидентов.
7.4.2 Содержание
Корпоративная политика менеджмента рисков и ИБ. а также специальные политики ИБ для сис
тем. сервисов или сетей должны обновляться с целью обеспечения точного соответствия общей по-
17