ГОСТ Р 59712—2022
Для проведения проверки факта возникновения компьютерного инцидента специалисту, ответственному за
реагирование на компьютерный инцидент (руководителю рабочей группы реагирования на компьютерные инци
денты), требуется следующая информация:
- подтверждающая или опровергающая факт приведения информационного ресурса в состояние, при кото
ром он полностью или частично не может обрабатывать информацию, необходимую для обеспечения критических
процессов, и/или осуществлять управление, контроль или мониторинг критических процессов;
- подтверждающая или опровергающая факт нарушения безопасности информации, необходимой для обе
спечения критических процессов (нарушение ее конфиденциальности, целостности и/или доступности);
в) принятие решения о регистрации компьютерного инцидента, его приоритете и уровне влияния.
П р и м е ч а н и я
1 Регистрация компьютерного инцидента осуществляется, если в ходе проверки подтвержден факт воз
никновения компьютерного инцидента. При регистрации компьютерного инцидента следует создавать карточку
компьютерного инцидента.
Регистрация компьютерного инцидента не осуществляется, если в ходе проверки установлено, что регистра
ция признака возможного возникновения компьютерного инцидента является ложной.
Если в ходе проверки было установлено, что причиной регистрации признака возможного возникновения
компьютерного инцидента является компьютерная атака, в случаях, если компьютерный инцидент не регистриру
ется, то должна формироваться карточка компьютерной атаки и карточка уязвимости.
2 Приоритеты и уровни влияния компьютерного инцидента могут определяться вместе с регистрацией при
знака возможного возникновения компьютерного инцидента при срабатывании правила, но они должны подтверж
даться специалистом, ответственным за реагирование на компьютерный инцидент (руководителем рабочей груп
пы реагирования на компьютерные инциденты), и при необходимости уточняться.
Подход к определению уровней влияния и приоритетов компьютерных инцидентов приведен в приложениях
А и Б ГОСТ Р 59711—2022.
После подтверждения факта возникновения компьютерного инцидента осуществляется немед
ленное уведомление специалистов, входящих в состав рабочей группы, назначенной для реагирования на
зарегистрированный компьютерный инцидент.
П р и м е ч а н и е — Назначение рабочих групп для реагирования на компьютерный инцидент может осу
ществляться автоматически средством управления инцидентами для каждого типа компьютерного инцидента или не
автоматически специалистом, ответственным за реагирование на компьютерный инцидент (руководителем ра бочей
группы реагирования на компьютерные инциденты).
Одновременно с уведомлением специалистов, входящих в состав рабочей группы, назначенной
для реагирования на зарегистрированный компьютерный инцидент, должно осуществляться уведом
ление организации, осуществляющей координацию деятельности в части управления компьютерными
инцидентами, с направлением карточки компьютерного инцидента (в случае регистрации компьютерно го
инцидента) или карточек компьютерной атаки и уязвимости, которые могли быть использованы при
проведении компьютерной атаки (если в ходе проверки признака возможного возникновения компью
терного инцидента было установлено, что причиной его регистрации является компьютерная атака, в
случаях если компьютерный инцидент не регистрируется).
6 Реагирование на компьютерные инциденты
6.1 Общие положения
Стадия «реагирование на компьютерные инциденты» состоит из следующих последовательных
этапов:
- определение вовлеченных в компьютерный инцидент элементов информационной инфраструк
туры;
- локализация компьютерного инцидента;
- выявление последствий компьютерного инцидента;
- ликвидация последствий компьютерного инцидента;
- закрытие компьютерного инцидента.
Отдельными этапами в рамках стадии «реагирование на компьютерные инциденты» являются:
- фиксация материалов, связанных с возникновением компьютерного инцидента;
- установление причин и условий возникновения компьютерного инцидента.
5