ГОСТ Р ИСО/МЭК ТО 18044—2007
поможет также глубже раскрыть инцидент ИБ и идентифицировать другие системы ИТ, которые под
верглись компрометации.
Может возникнуть необходимость в активизации специальных реагирований, документированных
в соответствующем плане обеспечения непрерывности бизнес-процесса, которые можно применить к
инцидентам ИБ как связанным, так и не связанным с ИТ. Специальные реагирования должны быть
предусмотрены для всех аспектов бизнеса, связанных не только непосредственно с ИТ, но также с под
держкой ключевых функций бизнеса и последующего восстановления с помощью речевой сети связи
и физических устройств.
Еще одной областью реагирования является восстановление пораженных информационных сис
темно. сервисов(а) и (или) сетей(и) до нормального рабочего состояния. Восстановление пораженных
систем(ы), сервисов(а) и (или) сетей(и) до безопасного рабочего состояния может быть осуществлено
применением «патчей» для известных уязвимостей или отключением скомпрометированных элемен
тов. Если вследствие уничтожения журналов регистрации во время действия инцидента ИБ исчезает
весь объем информации об инциденте ИБ, может потребоваться полная перестройка системы, сервиса и
(или) сети. Также может потребоваться активизация части соответствующего плана непрерывности
бизнеса.
Если инцидент ИБ, не связанный с ИТ. например, спровоцирован пожаром, наводнением или
взрывом, то выполняютсядействия по восстановлению, документированные в соответствующем плане
обеспечения непрерывности бизнеса.
8.5.4 «Антикризисные» действия
Может случиться так (см. 8.5.2). что при определении ГРИИБ контролируется ли инцидент ИБ,
группа придет к выводу, что инцидент ИБ не находится под контролем и должен обрабатываться в режи ме
«антикризисных действий». В этом случае используется предварительно разработанный план
(планы).
Лучшие варианты обработки всех возможных типов инцидентов ИБ, которые могут повлиять на
доступность/разрушение и, в некоторой степени, на целостность информационной системы, должны
бытьопределены в стратегии обеспечения непрерывности бизнеса организации. Эти варианты должны
быть непосредственно связаны с приоритетамибизнеса организации и соответствующими временными
рамками восстановления бизнес-процессов и, следовательно, с максимально приемлемым временем
простоя ИТ. речевой связи, персонала и размещения. В плане необходимо определить:
- предупреждающие, поддерживающие меры обеспечения непрерывности бизнеса и устойчивос
ти к внешним изменениям;
- организационную структуру и обязанности, связанные с управлением планирования непрерыв
ности бизнеса:
- структуру и основные положения плана (планов) обеспечения непрерывности бизнеса.
План (планы)обеспечения непрерывности бизнеса и защитные меры для поддержки активизации
этого (этих) плана (планов), протестированных и признанных удовлетворительными, должны создать
основу для ведения наиболее «антикризисных» действий, для которых они предназначены.
Другие типы возможных «антикризисных действий» включают в себя (но не ограничиваются) акти
визацией.
- средств пожаротушения и процедур эвакуации;
- средств предотвращения наводнения и процедур эвакуации;
- средств предотвращения взрыва бомбы и соответствующих процедур эвакуации;
- работы специалистов по расследованию фактов мошенничества в информационных системах;
- работы специалистов по расследованию технических атак.
8.5.5 Правовая экспертиза
Если в ходе предыдущей оценки была определена необходимость правовой экспертизы в целях
доказательства значительного инцидента ИБ. правовую экспертизу проводит ГРИИБ. В целях проведе
ния более подробной экспертизы конкретного инцидента ИБ необходимо применять следственные ме
тоды и средства, основанные на ИТ и поддерживаемые документированными процедурами, не
используемые ранее в процессе менеджмента инцидентов ИБ. Такую экспертизу проводят структурным
методом и определяют, что может использоваться в качестве доказательства при внутренних
дисциплинарных разбирательствах или в ходе судебных процессов.
Для проведения правовой экспертизы могут использоваться технические (например средства и
методы аудита, средства восстановления свидетельств) и программные средства, защищенные слу-
29