ГОСТ Р ИСО/МЭК ТО 18044—2007
- подготовке распечаток (например, журналов регистрации), демонстрирующих развитие инциден
та ИБ. процесс разрешения инцидента и обеспечивающих сохранность информации:
- восстановлению штатного режима работы информационной системы, сервиса и (или) сети с по
мощью:
оптимальных процедур резервирования,
четких и надежных резервных копий,
тестирования резервных копий,
контроля вредоносных программ.
исходных носителей информации с системным и прикладным программным обеспечением,
надежных и обновленных исправлений («патчей») для систем и приложений, согласованных с со
ответствующим планом обеспечения непрерывности бизнеса.
Атакованная информационная система, сервис и (или) сеть могут функционировать неверно. Поэ
тому работа технического средства (программного или аппаратного обеспечения), необходимого для
реагирования на инцидент ИБ. не должна бытьоснована на системах, сервисах и(или)сетях, использу
емых в организации. По возможности, технические средства реагирования на инциденты должны быть
полностью автономными.
Все технические средства должны быть тщательно отобраны, правильно внедрены и регулярно
тестироваться (включая тестирование полученных резервных копий).
Следует заметить, что технические средства, описанные в настоящем подразделе, не включают в
себя техническиесредства, используемые непосредственнодля обнаружения инцидентов ИБ и вторже
ний и автоматического оповещения соответствующих лиц. Данные технические средства описаны в [1],
2
[ ].
7.7 Обеспечение осведомленности и обучение
Менеджмент инцидентов ИБ — это процесс, включающий в себя не только технические средства,
но также персонал, и. следовательно, этот процесс должен поддерживаться лицами, соответствующим
образом обученными для работы в организации и осведомленными в вопросах безопасности информа
ции.
Осведомленность и участие всего персонала организации очень важны для обеспечения успеха
структурного подхода к менеджменту инцидентов ИБ. Поэтому роль менеджмента инцидентов ИБ дол
жна активно поддерживаться как часть общей программы обучения и обеспечения осведомленности в
вопросах ИБ. Программа обеспечения осведомленности и соответствующий материал должны быть
доступны для всего персонала, включая новых служащих, пользователей сторонних организаций и под
рядчиков. Должна существовать специальная программа обучения для группы обеспечения эксплуата
ции. для членов ГРИИБ. а при необходимости — для персонала, ответственного за ИБ. и специальных
администраторов. Следует заметить, что для каждой группы, непосредственно участвующей в менед
жменте инцидентов, могут потребоваться различные уровни подготовки, зависящие от типа, частоты и
значимости их взаимодействия с системой менеджмента инцидентов ИБ.
Инструктажи по обеспечению осведомленности должны включать в себя:
- основы работы системы менеджмента инцидентов ИБ. включая сферу ее действия и технологию
работ по менеджменту инцидентов и событий ИБ;
- способы оповещения о событиях и инцидентах ИБ.
- защитные меры по обеспечению конфиденциальности источников (по необходимости):
- соглашения об уровнях сервиса системы;
- уведомление о результатах — на каких условиях будут информированы источники;
- любые ограничения, налагаемые соглашениями о неразглашении;
- полномочия организации менеджмента инцидентов ИБ и ее линия оповещения;
- кто и как получает отчеты от системы менеджмента инцидентов ИБ.
В некоторых случаях желательно специально включать подробности обеспечения осведомлен
ности о менеджменте инцидентов ИБв другие программы обучения (например, в программы ориентиро
вания персонала или в общие корпоративные программы обеспечения осведомленности в вопросах
ИБ). Этот подход к обеспечению осведомленности может предоставить ценную информацию, связан
ную с определенными группами сотрудников, и может улучшить эффективность и результативность
программы обучения.
До ввода в эксплуатацию системы менеджмента инцидентов ИБ весь соответствующий персонал
должен ознакомиться с процедурами обнаружения и оповещения о событиях ИБ. а специально ото-
20