ГОСТ Р 59710—2022
Серия стандартов по управлению компьютерными инцидентами включает:
а) настоящий стандарт — охватывает все четыре стадии;
б) ГОСТ Р 59711 — охватывает стадию «организация деятельности по управлению компьютерны
ми инцидентами»;
в) ГОСТ Р 59712 — охватывает стадии:
1) обнаружение и регистрация компьютерных инцидентов;
2) реагирование на компьютерные инциденты;
3) анализ результатов деятельности по управлению компьютерными инцидентами.
На рисунке 3 показан общий порядок ведения деятельности по управлению компьютерными инци
дентами с детализацией стадий их управления.
5.2 Организация деятельности по управлению компьютерными инцидентами
Эффективное управление компьютерными инцидентами требует соответствующего планирова
ния и подготовки. Для организации деятельности по управлению компьютерными инцидентами органи
зация должна выполнить следующие мероприятия:
- разработать политику управления компьютерными инцидентами;
- разработать план реагирования на компьютерные инциденты;
- определить подразделение, ответственное за управление компьютерными инцидентами;
- организовать взаимодействие с подразделениями внутри организации и с внешними организа
циями;
- реализовать материально-техническое оснащение подразделения, ответственного за управле
ние компьютерными инцидентами;
- организовать обучение и информирование в части управления компьютерными инцидентами;
- провести тренировки по отработке мероприятий плана реагирования на компьютерные инци
денты.
5.3 Обнаружение и регистрация компьютерных инцидентов
Деятельность по обнаружению и регистрации компьютерных инцидентов основывается на резуль
татах проводимого в организации мониторинга, в рамках которого осуществляется сбор информации о
событиях безопасности и иных данных мониторинга из различных источников.
П р и м е ч а н и е — В состав собираемых данных помимо информации о зарегистрированных событиях без
опасности, как правило, входят инвентаризационные данные, данные о сетевой активности, новостные ленты,
касающиеся текущей политической, социальной или экономической деятельности (обстановки), которая может
повлиять на активность, связанную с компьютерными инцидентами, информация о тенденциях, связанных с ком
пьютерными инцидентами, о новых векторах атак и текущих индикаторах атак (индикаторах компрометации).
Стадия управления компьютерными инцидентами «обнаружение и регистрация компьютерных
инцидентов» состоит из двух последовательных этапов:
- регистрация признаков возможного возникновения компьютерных инцидентов.
П р и м е ч а н и я
1 Регистрация признаков возможного возникновения компьютерных инцидентов осуществляется как не
автоматизированным способом (специалистами подразделения, ответственного за управление компьютерными
инцидентами, при самостоятельном анализе событий безопасности в ходе мониторинга или при получении соот
ветствующей информации от работников организации), так и автоматизированным способом (с использованием
средства управления событиями информационной безопасности) на основе правил регистрации признаков воз
можного возникновения компьютерных инцидентов.
2 При автоматизированном способе регистрации признака возможного возникновения компьютерных ин
цидентов информация о данном зарегистрированном признаке передается из средства управления событиями
информационной безопасности в средство управления инцидентами, где на основании поступившей информации,
автоматически формируется карточка признака возможного возникновения компьютерного инцидента.
При неавтоматизированном способе регистрации признака возможного возникновения компью
терных инцидентов специалист подразделения, ответственного за управление компьютерными инци
дентами, самостоятельно регистрирует данный признак в средстве управления инцидентами (заполня ет
карточку признака возможного возникновения компьютерного инцидента);
- подтверждение компьютерных инцидентов.
7