ГОСТ Р ИСО/МЭК 27031-2012
Приложение D
(справочное)
Разработка критериев эффективности
ПосколькуэффективностьГИКТОНБразличаетсявразныхорганизациях,каждая
организация должна разработать собственные критерии эффективности ГИКТОНБ и поддерживать
их как часть процесса постоянного совершенствования.
Основнойподходсостоитвиспользованииизвестныхсценариевинцидентови
взаимосвязанных событий, чтобы установить базовый уровень реагирования для каждой категории
инцидентов и связанных с ними событий следующим образом:
a) установление в рамках процессов МНБ и СМИБ известных инцидентов и индикаторов
событий в качестве входных данных для последующих этапов;
b
) установление совокупности известных инцидентов (например, атака взлома пароля,
отказ сервера из-за недостатка места на жестком диске);
c) определение событий, ведущих к этим инцидентам (например, неудачная попытка входа
в систему, использование жесткого диска);
d) определение соответствующего времени обнаружения (например, пороговое значение
для событий, о которых должны быть уведомлены/предупреждены система/администратор);
e) определение соответствующего времени реагирования (например, период времени для
принятия администратором мер с целью предотвращения реализации инцидента);
f)распределение событий по группам, исходя из требуемого времени реагирования и
видов мер реагирования; события могут распределяться по группам угроз, группам прикладных
программ, группам мер реагирования и (или) группам времени реагирования;
д) уточнениематрицизначенийпосредствомтестированиясценариеви
учений/тренировок;
h) проведение тестирования для определения того, являются ли меры реагирования
осуществимыми, а цели достижимыми;
i)уточнение групп ожидаемого времени реагирования на событие и ожидаемых мер
реагирования на события (например, поиск альтернативного метода мониторинга, обнаружения и
действий);
j)совершенствование путем сбора информации о новых инцидентах и сценариях отказа и
повторение процесса.
53