ГОСТ Р 59710—2022
ния организации, осуществляющей координацию деятельности в части управления компьютерными
инцидентами.
Отдельными этапами в рамках стадии «реагирование на компьютерные инциденты» являются:
- фиксация материалов, связанных с возникновением компьютерного инцидента;
- установление причин и условий возникновения компьютерного инцидента.
Данные этапы могут проводиться параллельно с остальными этапами реагирования и даже по
сле этапа «закрытие компьютерного инцидента». Выполнение данных этапов не влияет на закрытие
компьютерного инцидента.
Помимо перечисленных этапов реагирования организация должна решать следующие ключевые
задачи:
- определение принципа очередности реагирования на компьютерные инциденты.
П р и м е ч а н и е — Очередность реагирования на компьютерные инциденты должна определяться с учетом
уровня их влияния и приоритетов;
- обеспечение документирования всех действий вовлеченных сторон и, в частности, специалистов подраз
деления, ответственного за управление компьютерными инцидентами, для последующего анализа и оценки;
- безопасное хранение зафиксированных материалов, связанных с возникновением компьютерных инци
дентов (цифровых свидетельств), которые требуются для установления причин и условий возникновения компью
терных инцидентов;
- информирование о возникновении компьютерного инцидента и обмен информацией с организацией, осу
ществляющей координацию деятельности в части управления компьютерными инцидентами.
Вся собранная информация, относящаяся к компьютерному инциденту, должна быть отражена в
карточке компьютерного инцидента и быть максимально полной. Это позволяет качественно проводить
анализ результатов деятельности по управлению компьютерными инцидентами.
5.5 Анализ результатов деятельности по управлению компьютерными инцидентами
Заключительная стадия управления компьютерными инцидентами «Анализ результатов деятель
ности по управлению компьютерными инцидентами» осуществляется после того, как компьютерный
инцидент был закрыт. Данная стадия включает в себя следующие этапы:
- приобретение и накопление опыта по результатам управления компьютерными инцидентами.
П р и м е ч а н и е — Приобретение и накопление опыта по результатам деятельности по управлению ком
пьютерными инцидентами предусматривает идентификацию методов и способов обнаружения и реагирования на
компьютерные инциденты, которые показали свою эффективность в отношении уже закрытых компьютерных
инцидентов.
Идентифицированная информация может быть использована при доработке (актуализации) до
кументации в части управления компьютерными инцидентами;
- разработка рекомендаций по устранению в информационных ресурсах причин и условий воз
никновения компьютерных инцидентов.
П р и м е ч а н и е — Разработка рекомендаций по устранению в информационных ресурсах причин и условий
возникновения компьютерных инцидентов осуществляется с целью предотвращения их повторного возникновения;
- оценка результатов и эффективности реагирования на компьютерные инциденты.
П р и м е ч а н и е — Оценка результатов и эффективности реагирования на компьютерные инциденты пред
усматривает проведение анализа процессов, процедур, форматов отчетов и состава рабочих групп при реагиро
вании на компьютерные инциденты и оценки их эффективности. Организация должна периодически проводить
комплексную оценку результатов и эффективности реагирования на компьютерные инциденты.
На основе оценки результатов и эффективности реагирования на компьютерные инциденты осу
ществляется (при необходимости) доработка (актуализация) документации в части управления ком
пьютерными инцидентами;
На стадии «анализ результатов деятельности по управлению компьютерными инцидентами» ор
ганизация также должна решать следующие ключевые задачи:
- информирование и обмен результатами деятельности по управлению компьютерными инциден
тами с заинтересованными организациями (при необходимости);
- определение состава информации о компьютерных инцидентах, связанных с ними векторах
атак и уязвимостях, которая может быть передана организациям, с которыми осуществляется взаимо
действие, в целях предотвращения возникновения таких же компьютерных инцидентов в их
информа ционной инфраструктуре.
9