ГОСТ Р ИСО ТО 13569—2007
безопасности и соответствующих угроз и связанного с ними воздействия на активы ИТ и бизнес-
операции. Дополнительную информацию об урегулировании инцидентов и менеджменте событий см. в
ИСО/МЭК 18044 [33].
Основными задачами во время расследования инцидента информационной безопасности является
реагирование на инцидент наиболее подходящим и эффективным образом и извлечение уроков из инци
дента информационной безопасности с тем. чтобы вбудущем можно было избежать аналогичных неблаго
приятных событий. В некоторых ситуациях может возникнуть (особеннодля защиты репутации организации
от критики неосведомленной недоброжелательно настроенной общественности) необходимость обеспече
ния защиты конфиденциальности информации, имеющей отношение к инциденту информационной безо
пасности.
Подготовленный план действий с заранее определенными решениями позволит организации осуще
ствить реагирование в течение приемлемого срока с целью ограничения дальнейшего ущерба и там, где
это возможно, продолжитьбизнес-деятельность после применения дополнительных мер. План обработки
инцидентовдолжен включать в себя требование хронологическогодокументирования всех событий и дей
ствий. Данный фактордолжен привести копределению источника инцидента. Он является предпосылкой
для достижения цели, а именно снижения будущих рисков посредством улучшения защитных мер.
Важно также проведение и документирование анализа инцидентов с рассмотрением следующих воп
росов:
- была ли надлежащим образомдокументирована хронология событий и действий;
- соблюдался ли план;
- была ли необходимая информация доступна соответствующему персоналу;
- была ли необходимая информациядоступна своевременно;
- чем будут отличаться действия персонала в следующий раз;
- былли эффективным процесс анализа инцидента (обнаружение/реагирование/лродставлениеотче
та) или его можно усовершенствовать;
- существуют ли меры управления для предупреждения повторного возникновения связанного с бе
зопасностью события?
Ответы на эти вопросы и принятие решений по полученным данным должны снизить вероятность
появления инцидентов в будущем.
14.2 Расследования и правовая экспертиза
Для некоторых инцидентов требуется дополнительное расследование. Учащающиеся случаи мошен
ничества. недовольство служащих, а также некоторые правовые вопросы создают потребность в рассле
довании деятельности сотрудников в системах ИТ. Для поддержки расследования может потребоваться
сбор и анализ системных журналов регистрации, журналов регистрации систем обнаружения вторжений и,
иногда, всех накопителей надисках. Могут потребоваться судебный анализ данных накопителя надисках,
включая поиск удаленных файлов, и другие виды детального анализа инцидента. Большинство организа
ций обладает только ограниченными внутренними возможностями для проведения таких расследований и
анализа. Однако все программы обеспечения безопасности должны включать всебя минимальное обуче
ние обработке свидетельств, плану проведения расследования и действиям лиц. проводящих расследова
ние, а также выполнению разных видов правовой экспертизы. Реальные потребности расследования зна
чительно различаются для различных организаций и различных инцидентов.
14.3 Обработка инцидентов
План обработки инцидентовдолжен быть хорошо известен всем, кто будет принимать участие в нем.
В данном планедолжны рассматриваться многие потенциальные проблемы:
- инциденты, происходящие во внерабочее время;
- потребности связи (как внутри организации, так и связь со средствами массовой информации и
клиентами);
- планы резервирования идействий в чрезвычайных ситуациях;
- связь с поставщиками, включая бизнес-партнеров.
14.4 Проблемы, связанные с аварийностью
Для поддержания целостности информационныхсистем при аварийных ситуациях неследует пренеб
регать процессами обеспечения безопасности. Необходимы специфические процессы, позволяющие осу
ществить исправление аварийных ситуаций в первую очередь для разрешения производственных проб
лем, и создания процедур скорейшего возврата к нормальной работе. При любых изменениях в информа
ционных системах вносящие их лица, включая персонал поддержки в чрезвычайных ситуациях, должны
документировать эти изменения и проводить необходимый анализ.
36