ГОСТ Р 59711—2022
3) ситуации, при которых требуется прекратить действия по реагированию на компьютерный
инцидент.
П р и м е ч а н и е — К таким ситуациям могут относиться случаи, при которых действия по реагированию
на компьютерный инцидент, например, связанные с приостановкой или прекращением функционирования инфор
мационного ресурса, могут негативно влиять на критические процессы организации. Для каждой из таких ситуаций
должна быть предусмотрена необходимость привлечения руководства организации, экспертных организаций,
ор ганизации, осуществляющей координацию деятельности в части управления компьютерными инцидентами,
иных лиц и (или) организаций для определения и (или) выполнения дальнейших действий по реагированию на
компью терный инцидент;
4) порядок контроля процесса реагирования на компьютерные инциденты со стороны специа
листов, ответственных за реагирование на компьютерные инциденты (руководителей рабочих
групп реагирования на компьютерные инциденты).
П р и м е ч а н и е — Контроль предусматривает отслеживание сроков реагирования на компьютерные ин
циденты и проверку результатов реагирования на компьютерные инциденты для принятия решения об их закрытии
или возврате на один из предыдущих этапов реагирования. Если в ходе контроля реагирования на компьютерные
инциденты установлено, что имеются проблемы по локализации и ликвидации последствий компьютерного ин
цидента, и предполагается, что он будет оказывать серьезные негативные воздействия на критические процессы
организации, то целесообразно направить обращение в организацию, осуществляющую координацию деятельно
сти в части управления компьютерными инцидентами, об оказании содействия в реагировании на компьютерный
инцидент;
5) порядок действий в процессе выявления и ликвидации последствий компьютерных инци
дентов;
6) порядок закрытия компьютерных инцидентов;
7) порядок фиксации материалов, связанных с возникновением компьютерных инцидентов, и
установления причин и условий их возникновения.
7.3 Применение плана реагирования на компьютерные инциденты
К деталям плана реагирования на компьютерные инциденты должны иметь доступ только спе
циалисты подразделения, ответственного за управление компьютерными инцидентами. Для других
работников организации, привлекаемых к реагированию на компьютерные инциденты, на основании
плана реагирования на компьютерные инциденты необходимо разрабатывать отдельные инструкции,
определяющие их функции и задачи в рамках реагирования на компьютерные инциденты, которые
должны содержать только касающиеся соответствующих работников сведения. Например, такими за
дачами могут быть:
- отключение информационного ресурса в целом, его отдельного сегмента, сервиса или элемента
информационной инфраструктуры (отдельное СВТ, входящее в состав комплекса программно-техни
ческих средств), вовлеченного в компьютерный инцидент, при локализации компьютерного инцидента;
- мониторинг состояния информационного ресурса в целом, его отдельного сегмента, сервиса
или элемента информационной инфраструктуры, вовлеченного в компьютерный инцидент, при локали
зации компьютерного инцидента;
- определение перечня удаленных или поврежденных в результате компьютерного инцидента
объектов при выявлении последствий компьютерных инцидентов;
- фиксация материалов, связанных с возникновением компьютерного инцидента (цифровых сви
детельств);
- восстановление информационного ресурса в целом, его отдельного сегмента, сервиса или эле
мента информационной инфраструктуры, вовлеченного в компьютерный инцидент из резервных копий
(как способа восстановления работоспособности), или выполнение иных процедур восстановления;
- передача информации о компьютерных инцидентах специалистам смежных подразделений, а
также внешним организациям, в том числе в организацию, осуществляющую координацию деятельно сти
в части управления компьютерными инцидентами.
Каждому работнику организации, привлекаемому к реагированию на компьютерные инциденты,
могут быть определены одна или несколько ролей в рамках деятельности по реагированию на компью
терные инциденты.
В процессе реагирования на компьютерные инциденты работникам организации, привлекаемым
к реагированию на компьютерные инциденты, необходимо предоставлять доступ к информации, полу-
6