ГОСТ Р ИСО/МЭК ТО 13335-3—2007
Приобнаруженииотклонений вбезопасности информационной системы необходимо их исследовать
и результаты доложить руководству организации для возможного пересмотра мер защиты или, в серьез
ных случаях, пересмотра стратегии информационной безопасности и проведения нового анализа рисков.
В целяхобеспечения требований политики информационной безопасностидолжны бытьпривлечены
соответствующие ресурсы для поддержания необходимого уровня повседневного контроля следующих
элементов.
- существующих мер защиты;
- ввода новых систем или услуг;
- планирования изменений в существующих системах или услугах.
Выходные данные защитных мер фиксируют вформах записи файлов регистрации данных при появ
лении событий. Эти файлы регистрацииданныхдолжны быть проанализированы с использованием статис
тических методовдля раннего обнаружения тенденций к изменениям и обнаружения повторяемости инци
дентов. Организация должна назначить лиц, ответственных заанализ этихфайлов регистрации данных.
Вдистрибутивных средах файлы регистрации данных могут записыватьинформацию, относящуюся к
одной среде. Для верного понимания природы сложного события необходимо объединить информацию
различных файлов регистрации данных и свести ее в одну запись о событии. Объединение записей собы
тий представляетсложную задачу, важным аспектом которой является идентификация параметра (или па
раметров) объединения записи различныхфайлов регистрацииданныхс параметром конфиденциальности.
Метод управления контролем ежедневного мониторинга заключается в подготовке документации,
описывающей необходимыедействия при выполнении производственных процедур обеспечения безопас
ности. Эта документация описываетдействия, необходимые для поддержания требуемого уровня безопас
ности всех систем и услуг и обеспечения его подтверждения в течение длительного времени.
Процедуры актуализации конфигурации системы безопасности должны быть задокументированы.
Процедуры должны включать всебя корректирующие параметры безопасности и актуализации любой ин
формации по управлению безопасностью. Эти изменения должны быть зарегистрированы и одобрены в
рамках процессов управления конфигурацией системы. Организация должна установить процедуры вы
полнения регулярного обслуживания дляобеспечения защиты от угроз безопасности информации. Органи
зация должна установить порядок выполнениядоверительных распределенных процедурдля каждого ком
понента безопасности (если это применимо).
Необходимо описание процедуры контроля мер защиты.Должны быть установлены способы и часто
та проведения проверки уровня защищенности. Необходимо описание применения методов и инструмен
товстатистическогоанализа.Должнобыть разработано руководствопо корректировке критериев контрольных
проверокдля различных производственных условий.
11.5 Обработка инцидентов
Как уже отмечалось, для идентификации рисков и уровня их опасности необходим анализ рисков.
Информация по инцидентам, связанным с нарушением безопасности, необходимадля поддержки процес са
анализа рисков и расширения применения его результатов. Эта информация должна бьпгь собрана и
проанализирована безопасным способом (с пользой длядела). Поэтому важно, чтобы каждая организация
имела схемуанализа инцидентов (IAS*)для поддержания процесса анализа рисков и управления другими
аспектами деятельности организации, связанными с безопасностью.
Процедура обработки инцидентовдолжна быть основана натребованиях пользователей с тем. чтобы
быть полезной и принятойдействующими и потенциальными пользователями. Процедура обработки инци
дентов должна быть включена в программу обеспечения компетентности в вопросах безопасности с
тем. чтобы персонал имел представление о ее характере, полезности и способах использования
результатов для:
- совершенствования анализа риска и управления пересмотром;
- предотвращения инцидентов;
- повышения уровня компетентности в вопросах информационной безопасности;
- получения «сигнала тревоги» для использования группой обеспечения компьютерной безопасности
в аварийных ситуациях.
Любая процедура обработки инцидентовдолжна содержать следующие ключевые аспекты, связан
ные с приведенными выше перечислениями:
- заранее составленные схемыдействий пообработке нежелательных инцидентов вмомент их прояв
ления, независимо от того, вызваны ли они внешней или внутренней логической и физической атакой или
произошли случайно в результате сбоя оборудования или ошибки персонала:
• Incident analysis scheme (англ.).
31