ГОСТ Р ИСО/МЭК ТО 18044—2007
Приложение А
(справочное)
Образец формы отчета о событиях и инцидентах
информационной безопасности
Отчеты о событиях и инцидентах информационной безопасности
Рекомендации по заполнению
Назначением данной формы (формы отчета о событиях и инцидентах ИБ) является обеспечение информа
цией о событии ИБ. а затем, если оно определено как инцидент ИБ. то и об инциденте ИБ. для определенных лиц.
Если подозревается, что событие ИБ развивается или уже свершилось, особенно событие, которое может
привести к существенным потерям или ущербу собственности или репутации организации, то необходимо немед
ленно заполнить и передать форму отчета о событии ИБ в соответствии с процедурами, описанными а системе ме
неджмента инцидентов ИБ организации.
Представленная информация будет использована для инициирования соответствующего процесса оценки,
которая определит, должно ли это событие категорироваться как инцидент ИБ и (а случае положительного ответа),
какие корректирующие меры, необходимые для предотвращения или ограничения потерь или ущерба, следует
предпринять. Поскольку процесс оценки по своему характеру является краткосрочным, то в данный момент необя
зательно заполнять асе поля формы отчета.
Если сотрудник является членом группы обеспечения эксплуатации, анализирующим попностью/чвстично
заполненные формы отчета, то он должен принять решение, надо ли отнести данное событие к категории инциден та
ИБ. При положительном решении сотрудник должен внести в форму отчета об инциденте ИБ как можно больше
информации и передать формы отчетов о событии и инциденте ИБ в ГРИИБ. Независимо от того, будет ли событие ИБ
отнесено к категории инцидента ИБ. база данных событий/инцидентов ИБ должна быть обновлена.
Если сотрудник является сотрудником ГРИИБ. анализирующим формы отчетов о событиях и инцидентах ИБ.
переданные членом группы обеспечения эксплуатации, то форма отчета об инциденте ИБ должна обновляться по
ходу расследования и. соответственно, должна обновляться база данных событий/инцидентов ИБ.
При заполнении форм следует соблюдать следующие рекомендации:
- по возможности формы отчета должны заполняться и передаваться в электронном виде’’. В случае, если
существуют проблемы или считается, что существуют проблемы с принятыми по умолчанию механизмами элект
ронного оповещения (например электронная почта), включая случаи, когда система может подвергаться атаке и
формы отчета могут быть прочитаны несанкционированными лицами, должны использоваться альтернативные
средства связи. Альтернативными средствами связи могут быть телефон или текстовые сообщения, а также ис
пользование курьеров:
- следует представить информацию, основанную на фактах, в которой сотрудник уверен, не следует что-либо
придумывать для того, чтобы заполнить все формы. Если сотрудник считает уместным включить иную информа
цию. которую не может подтвердить, следует указать, что это неподтвержденная информация, и причину убежден
ности в ее недостоверности;
- следует подробно указать, как можно связаться с сотрудником. Немедленно или спустя некоторое время
может возникнуть необходимость контакта с ним для получения дальнейшей информации, касающейся Вашего от
чета.
Если позднее сотрудник обнаружит, что какая-либо представленная им информация неточна, неполна или
ошибочна, то следует внести поправки в отчет и представить его повторно.
” Если возможно, то формы отчетов должны быть, например, на безопасной weP-странице с привязкой к
электронной базе данных событий инцидентов ИБ. В настоящее время основанная на бумажной технологии систе ма
является слишком медленно действующей и далеко не самой эффективной в эксплуатации.
35