ГОСТ Р ИСО/МЭК ТО 18044—2007
Если время расследования превышает время, ранее согласованное внутри организации, то со
ставляется промежуточный отчет.
Член ГРИИБ. оценивающий инцидент ИБ. на основании руководства, содержащегося в документа
ции системы менеджмента инцидентов ИБ, должен знать:
- когда и кому необходимо направлять материалы;
- что при осуществлении любойдеятельности ГРИИБ необходимоследоватьдокументированным
процедурам контроля за внесением изменений.
При наличии проблем или если считается, что существуют проблемы в отношении обычных
средств связи (например, сэлектронной почтой), включаяслучаи, когда система, возможно, подвергает ся
атаке и целесообразно сделать вывод, что инцидент ИБ является значительным и (или) была опре
делена «кризисная ситуация», то следует, в первую очередь, сообщить об инциденте ИБ
ответственным лицам лично, по телефону или текстовым сообщением.
При необходимости руководитель ГРИИБ совместно с руководителем обеспечения безопасности
ИБ организации и соответствующим руководителем организации (членом совета директоров) правле
ния должны связаться со всеми отделами, которые вовлечены в инцидент ИБ как внутри организации,
так и за ее пределами (см. 7.5.3 и 7.5.4).
Для быстрой и эффективной организации связи необходимо заранее установить надежный метод
передачи информации, не зависящий полностью от системы, сервиса или сети, на которые может воз
действовать инцидент ИБ. Такие меры предосторожности могут включать в себя назначение резервных
консультантов или представителей организации на случай отсутствия кого-либо из ее основных
руководителей.
8.5.2 Контролируемость инцидента
После инициирования членом ГРИИБ немедленного реагирования соответствующей правовой
экспертизы и действий по передаче информации необходимосрочно убедиться, находится ли инцидент
ИБ под контролем. При необходимости член ГРИИБ может проконсультироваться с коллегами, руково
дителем ГРИИБ и (или) другими сотрудниками организации.
Если подтверждается, что инцидент ИБ находится под контролем, то член ГРИИБдолжен перейти
к другим дальнейшим необходимым действиям по реагированию, проведению правовой экспертизы и
передаче информации (см. 8.5.3.8.5.5 и8.5.6) с целью ликвидации инцидента ИБ ивосстановления нор
мальной работы пораженной информационной системы.
Если не подтверждается, что инцидент ИБ находится под контролем, член ГРИИБдолжен иниции
ровать «антикризисные» действия (см. 8.5.4).
8.5.3 Последующее реагирование
Определив, что инцидент ИБ находится под контролем и не является объектом «антикризисной
ситуации», член ГРИИБ должен определить необходимость и вероятные способы дальнейшего реаги
рования в отношении данного инцидента. Реагирование может включать в себя восстановление пора
женных информационных систем(ы), сервисов(а) и (или) сетей(и) до нормального рабочего состояния.
Затем член ГРИИБдолжен занести детали в форму отчета об инциденте ИБ и базуданных событий/ин-
цидентов ИБ. а также проинформировать об этом лиц. ответственных за завершение соответствующих
действий. Подробности успешного завершения этихдействий необходимо внести в форму отчета об ин
циденте ИБ и базу данных событий/инцидентов ИБ. а затем инцидент ИБ должен быть закрыт и
соответствующий персонал должен быть проинформирован об этом.
Некоторые реагирования должны быть направлены на предотвращение повторения подобного
ему инцидента ИБ. Например, если определено, что причиной инцидента ИБ является отказ аппаратур
нойчасти или программного обеспечения ИТ из-за отсутствия вставок в программу («патчей»), то вэтом
случае необходимо немедленно связаться с поставщиком. Если причиной инцидента ИБ была извест
ная уязвимость ИТ. то она должна быть устранена соответствующим обновлением защиты ИБ. Необхо
димо также решить любые проблемы, связанные с конфигурацией ИТ и выявленным инцидентом ИБ.
Другими мерами уменьшения возможности повторения или появления такого инцидента ИБ или
подоб ногоему инцидента могут быть изменение системных паролей иотключение
неиспользуемыхсервисов.
Другая область деятельности по реагированию на инцидент ИБ может включать в себя монито
ринг системы, сервиса и (или) сети ИТ. Следом за оценкой инцидента ИБ может оказаться целесообраз
ным ввести дополнительные защитные меры мониторинга для содействия в обнаружении необычных
или подозрительных событий, которые могут оказаться признаками инцидентов ИБ. Такой мониторинг
28