ГОСТ Р ИСО/МЭК ТО 13335-3—2007
- обучение назначенных сотрудников методам расследования инцидентов, например организация
группы аварийного компьютерного обеспечения.
Группа обеспечения компьютерной безопасности ваварийных ситуациях— это сотрудники, рассле
дующие причины инцидента, связанного с нарушением информационной безопасности, определяющие
потенциальную возможность его повторения или проводящие периодический анализданных за длитель
ный период времени. Заключения, сделанные группой обеспечения компьютерной безопасности, могут
служить основанием для предупреждающихдействий. Группа обеспечения компьютерной безопасности в
аварийных ситуациях может бытьсоздана внутри организации или работать по контракту со стороны.
При наличии схемы действий и обученного персонала в случае возникновения инцидента не следует
принимать поспешных решений. Необходимо сохранитьданные, которые позволят проследить и идентифи
цировать источник инцидента, привести в действие меры защиты наиболее ценных активов, что позволит
снизить расходы на инцидент и устранение его последствий. Таким образом, организация вбудущем смо
жетсвести к минимумулюбые известные отрицательные инциденты.
Каждая организациядолжна иметь эффективную процедуру обработки инцидентов, охватывающую:
- подготовку — предупреждающие меры со стороны руководства организации, рекомендации и про
цедуры по обработке инцидентов (включая сохранение доказательныхданных, обслуживание файлов ре
гистрацииданных по событиям и связь с общественностью), необходимые документы, планы обеспечения
бесперебойной работы информационной системы:
- уведомление — процедуры, средства и обязанности по регистрации информации об инцидентах;
- оценку — процедуры и обязанности по расследованию инцидентов и определению уровня их опас
ности:
- управление — процедуры и обязанности по обработке инцидентов, снижению ущерба от них и уве
домлению вышестоящего руководства;
- восстановление — процедуры и обязанности по восстановлению нормальной работы:
- анализ — процедуры и обязанности при выполнении действий после инцидента, включая расследо
вание юридических аспектов инцидента и анализ тенденций.
Следуетотметить, что если одни организации видят выгоду от использования процедуры обработки
инцидентов, тодругие — считают, что еще большую выгоду можно получить, объединяя эту информацию и
создавая общую базуданных по инцидентам, что позволит гораздо быстрее получать предупреждения,
идентифицировать тенденции и принимать меры защиты. Объединенная база данных по инцидентамдолж на
быть достаточно гибкой для того, чтобы учитывать требования общих (все секторы, типы угроз и их
возможные воздействия) и частных (отдельные секторы, угрозы и их воздействия) интересов. Каждая про
цедура обработки инцидентов, внутри или вне организации, должна использовать одинаковую типологию,
метрологию и структуру программного обеспечения для регистрации информации по инцидентам. Это об
легчает сравнение и анализ. Использование общей структуры является ключевым моментом для получе
ния всеобъемлющих результатов и в особенности болеедостоверной базыданныхдля быстрой идентифи
кации «предупреждения», которое невозможно получитьот одиночной процедуры обработки инцидентов.
Взаимосвязь между процедурой обработки инцидентов, процессом анализа рисков и методами уп
равления может существенно повысить качество оценки рисков, угроз и уязвимостей и увеличить выгоду от
использования процедуры обработки инцидентов.
Информация по случаям возникновения угрозспособна значительно улучшить качествооценки угро
зы и. следовательно, качество оценки рисков. В процессе расследования инцидента (ов) вполне вероятно,
что будет собрана новаядополнительная информация об уязвимостях систем и способах их устранения.
Применение процедуры обработки инцидентовдает возможность пользователю идентифицировать и оце
нить уязвимости системы и предоставить полезные входные данные для оценки рисков. Эти данные час
тично основаны на информации об угрозах и частично— на результатах расследования инцидентов, прове
денного группой обеспечения компьютерной безопасности ваварийных ситуациях.
Например, угроза логического проникновения (присутствие «взломщика» и привлекательность обра
батываемой информации) можетсочетаться (чем и создается риск) с уязвимостью клогическому проникно
вению (неадекватность или отсутствие соответствующих контрольных механизмов логическогодоступа в
систему). Поэтому использование процедуры обработки инцидентовдля идентификации и оценки уязвимо
стей может использоваться через информацию об угрозах, которая введена в базуданных о случившихся
инцидентах, вместе с информацией от других источников, особенно группой обеспечения компьютерной
безопасности в аварийных ситуациях, которые могут обнаружить ранее неидентифицированные уязви
мости.
32