ГОСТ Р ИСО/МЭК ТО 18044—2007
- по возможности, анализ физических доказательств ущерба имуществу, например отпечатков
пальцев, результатов видеоиаблюдения. журналов регистрации системы сигнализации, журналов ре
гистрации доступа по пропускам и опроса свидетелей;
- обработка и хранение добытых потенциальных свидетельств так, чтобы избежать их поврежде
ния, приведения в негодность и предотвращения просмотра конфиденциального материала несанкцио
нированными лицами. Следует подчеркнуть, что сбор доказательств всегда должен проводиться в
соответствии с правилами судопроизводства или слушания дела, для которых возможно представле
ние данного доказательства;
- получение выводов о причинах инцидента ИБ, необходимыхдействиях ивремени их выполнения
с приведением свидетельств, включая список соответствующих файлов, включенных в приложение к
главному отчету;
- обеспечение экспертной поддержки для любого дисциплинарного или правового действия (при
необходимости).
Метод(ы) выполнения вышеуказанных действий должен(ны) документироваться в работе проце
дуры ГРИИБ.
ГРИИБ должна обладать разнообразными навыками в обширной области технических знаний
(включая знание средств и методов, которые, возможно, будут использоваться нарушителем), опытом
проведения аиализа/расследования (с учетом защиты используемых свидетельств), знанием правовых и
нормативных положений и постоянной осведомленностью о тенденциях, связанных с инцидентами ИБ.
8.5.6 Передача информации
Во многих случаях, когда ГРИИБ подтвердила реальность инцидента ИБ. возникает необходи
мость информирования конкретных лиц как внутри организации (вне обычных линий связи между
ГРИИБ и руководством), так и за ее пределами, включая прессу. Для этого могут потребоваться не
сколько этапов, например; подтверждение реальности инцидента ИБ и его подконтрольности, опреде
ление инцидента ИБ как объекта «антикризисной деятельности», закрытие и завершение анализа
инцидента ИБ и формирование вывода об инциденте ИБ.
Для оказания содействия такой деятельности целесообразно заранее подготовить конкретную ин
формацию с целью быстрой адаптации ее к обстоятельствам возникновения конкретного инцидента ИБ и
предоставления этой информации прессе и (или) другим средствам массовой информации. Если
прессе предоставляется неполная информация, относящаяся к инцидентам ИБ. то она должна быть
предоставлена в соответствии с политикой распространения информации организации. Информация,
подлежащая распространению среди общественности, должна быть проанализирована соответствую
щими лицами, например высшим руководством, координаторами по связям с общественностью и
персоналом ИБ.
8.5.7 Расширение области принятия решений
Могут возникнуть обстоятельства, когда в решение об инциденте ИБ придется вовлекать высшее
руководство, другую группу внутри организации или лицо/rpynny сторонней организации. Речь может
идти о принятии решения относительно рекомендуемых действий, относящихся к инциденту ИБ, или
дальнейшей оценке с целью определения требуемых действий. Расширение области принятия реше
ний может потребоваться вслед за процессами оценки всоответствии с 8.4 или происходить в ходе про
цессов оценки, если проблема становится очевидной на ранней стадии ее обнаружения. Для тех. кому
когда-либо придется принимать решение о расширении области принятия решений, то есть для группы
обеспечения эксплуатации и членов ГРИИБ. необходимо иметь соответствующее описание в
документации системы менеджмента инцидентов ИБ.
8.5.8 Регистрация деятельности и контроль за внесением изменений
Следует подчеркнуть, что все. кто причастен к оповещению (информированию) и менеджменту ин
цидентов ИБ. должны надлежащим образом регистрировать все свои действия на случай их дальней
шего анализа. Информацию об этих действиях вносят в форму отчета об инцидентах ИБ и в базу
данных событий/инцидентов ИБ. непрерывно обновляемую в течение всего временидействия инциден
та ИБ, от первой формы отчета до завершения анализа инцидента ИБ. Эта информация должна хра
ниться по возможности с применением средств защиты и обеспечением соответствующего режима
резервирования. Кроме того, изменения, вносимые в процессе отслеживания инцидента ИБ, обновле
ния форм отчета ибаз данныхсобытий/инцидентов ИБ. должны вноситься в соответствии с формально
принятой системой контроля за внесением изменений.
31