ГОСТ Р ИСО/МЭК ТО 18044—2007
При анализе потенциального или реального негативного воздействия инцидента ИБ на бизнес
организации вследствие несанкционированного раскрытия информации, несанкционированной моди
фикации информации, отказа от имеющейся информации, недоступности информации и (или) сервиса,
разрушения информации и (или) сервиса необходимо подтвердить, какие последствия имели место
вследствие данного инцидента. Примерами категорий последствий являются:
- финансовые убытки/разрушение бизнес-операций:
- ущерб коммерческим и экономическим интересам;
- ущерб для информации, содержащей персональные данные;
- нарушение правовых и нормативных обязательств;
- ущерб для менеджмента и бизнес-операций;
- утрата престижа организации.
Дляотнесения потенциальныхили фактических воздействий к той или иной категории необходимо
использовать соответствующие рекомендации, которые относили бы их к инциденту ИБ и вносились в
отчет по инцидентам ИБ. Примеры рекомендаций приведены в приложении В.
8.5 Реагирование на инциденты
8.5.1 Немедленное реагирование
8.5.1.1 Обзор
В большинстве случаев после подтверждения инцидента член ГРИИБ выполняет действия по не
медленному реагированию относительно инцидента ИБ. регистрации подробностей в форме отчета об
инциденте ИБ. введению в базуданных событий/инцидентов ИБ и уведомлению сотрудников организа
ции о требуемых действиях на инцидент ИБ. Результатом данных действий может быть принятие ава
рийных защитных мер (например отключение атакованной информационной системы, сервиса и (или)
сети по предварительному соглашению с соответствующим руководством ИТ-подразделения и (или)
бизнес-руководством) и (или) определение дополнительных постоянных защитных мер и уведомление
сотрудников организации о принятии этих мер. Если аварийные защитные меры не применены, то нуж но
определить значительность инцидента ИБ по оценочной шкале, принятой в организации, и если ин
цидент ИБ достаточно «значителен», то об этом необходимо непосредственно уведомить
соответствующее вышестоящее руководство. Если очевидна необходимость объявления «кризисной
ситуации», руководитель, отвечающий заобеспечение непрерывности бизнеса, должен бытьоповещен о
возможной активизации плана обеспечения непрерывности бизнеса, причем необходимо
проинформировать руководителя ГРИИБ и вышестоящее руководство.
8.5.1.2 Примерные действия по реагированию
Примером действий по немедленному реагированию в случае преднамеренной атаки на инфор
мационную систему, сервис и (или) сеть может быть то. что они остаются подключенными к Интернетуи
другим сетям с целью:
- обеспечения правильного функционирования критически важных бизнес-приложений;
- сбора наиболее полной информации о нарушителе при условии, если он не знает, что находится
под наблюдением.
Однако при принятии решения по реагированию нужно учитывать следующие факторы:
- нарушитель может почувствовать, что находится под наблюдением, и предпринятьдействия, на
носящие дальнейший ущерб атакованной системе, сервису и (или) сети и данным;
- нарушитель может разрушить информацию, которая способствует его отслеживанию.
Важно, чтобы при принятии соответствующего решения была техническая возможность быстро и
надежноотключитьатакованную информационную систему, сервис и (или) сеть. Однакодля предотвра
щения такого отключения не имеющим на это право персоналом необходимо применять соответствую
щие средства аутентификации.
Предотвращение повторного проявления инцидента обычно является более приоритетной зада
чей. В некоторыхслучаях необходимо учитыватьто. что нарушитель выявилслабое место, котороедол
жно быть устранено, а выгоды от выявления нарушителя не оправдывают затраченных на это
усилий. Это особенно справедливо, если нарушитель на самом деле не является злоумышленником и
не нанес большого или вообще не причинил никакого ущерба.
Что касается других инцидентов ИБ. кроме преднамеренной атаки, то их источник должен быть
идентифицирован. Может потребоваться отключение информационной системы, сервиса и (или) сети
или изоляция соответствующих их частей после получения предварительного согласия соответствую
щего руководства ИТ и (или) бизнес-руководителя на время внедрения защитных мер. Для этого может
26