Управление информационной безопасностью. Стандарты СУИБ (СИ)

– подтверждение ГРИИБ, является ли событие инцидентом ИБ, поэтому им нужно применять другую оценку, используя принятую шкалу классификации событий / инцидентов ИБ, чтобы подтвердить детали события (потенциального инцидента) и его влияния на ресурс (категоризация). Это нужно завершить решением о том, кто, как и с каким приоритетом обработает подтвержденный инцидент ИБ,

– оценка уязвимости ИБ (которая еще не создала события и потенциальный инцидент ИБ) с принятием решения о необходимости ее обработки, кто, как и в том, какой приоритет.

– полная запись всей информации в базе данных уязвимости / инцидента / события ИБ.

Для 4-й фазы – реагирования:

– отчет ГРИИБ для определения, находится ли инцидент ИБ под контролем, и:

• если инцидент под контролем, инициировать реагирование немедленно (в реальном времени) или позже,

• если инцидент не под контролем или возможно серьезное влияние на критические сервисы организации, инициировать кризисные действия вплоть до эскалации антикризисного управления;

– определение всех функций и организаций (внешних и внутренних), необходимых для схемы управления инцидентами;

– локализация и ликвидация инцидента ИБ путем смягчения или предотвращения расширения границ и степени воздействия инцидента;

– оповещение о существовании инцидента ИБ или любых связанных с этим деталей других внутренних и внешних лиц или организаций;

– документальное завершение и внесение записей об успешнм разрешении инцидента ИБ в базу данных уязвимостей / инцидентов / событий ИБ;

– проведение правового анализа, если потребуется;

– проверка правильности регистрации всей деятельности для дальнейшего анализа,

– сбор и сохранность результатов правовой экспертизы;

– поддержка режима контроля изменений и обновлений базы данных уязвимостей / инцидентов / событий ИБ;

– поиск взаимосвязей с уязвимостями ИБ.

В документации схемы управления инцидента ИБ предусматривается возможность как немедленного, так и более длительного реагирования на инциденты ИБ. Для всех инцидентов ИБ требуется своевременная оценка потенциальных негативных воздействий, как кратковременных, так и более длительных (например, крупномасштабное бедствие может произойти через некоторое время после первого инцидента ИБ). Более того, некоторые виды реагирования могут потребоваться для совершенно непредвиденных инцидентов ИБ, когда возникнет необходимость в специальных защитных мерах. Даже для этой ситуации организация должна включить в схемную документацию общее руководство по таким специальным защитным мерам.

Для 5-й фазы – извлечение уроков:

– идентификация уроков обработки инцидентов и уязвимостей ИБ;

– идентификация и внедрение улучшений средств защиты (новых и/или усовершенствованных) как в соответствии с политикой управления инцидентами ИБ, так и в результате полученных уроков;

– идентификация и внедрение улучшений оценки и управления рисками ИБ в результате полученных уроков;

– рассмотрение, насколько эффективны процессы, процедуры, форматы отчетов и/или организационная структура в оценке каждого инцидента ИБ и восстановлении после него и работе с уязвимостью ИБ, и на основании полученных уроков идентификация и внедрение улучшений схемы управления инцидента ИБ и ее документации;

– обновление базы данных уязвимостей / инцидентов / событий ИБ;

– проведение, если потребуется, дальнейшей правовой экспертизы;

– взаимосвязь и обмен результатами обзора с доверенными сторонами (если организация пожелает).

При разработке схемы необходимо учитывать следующие факторы:

– категории и классы инцидентов;

– формы учета инцидентов;

– рабочие процедуры;

– доверие персонала;

– конфиденциальность информации

Категории и классы инцидентов

Категория инцидента / события ИБ зависит от вида угрозы. Инциденты ИБ могут быть вызваны преднамеренными или случайными действиями человека или природными катаклизмами, техническими или физическими средствами.

Шкала классификацииинцидента / события ИБ зависит от степени серьёзности воздействия инцидентов / событий на активы или бизнес-операции организации.

Такая шкала может быть простой и иметь только 2 класса инцидента:

– значительный;

– незначительный.

Шкалу можно сделать более сложной, имеющую 4 класса инцидента:

– класс IV – очень серьёзный;

– класс III – серьёзный;

– класс II – менее серьёзный;

– класс I – несерьёзный.

Очень серьёзные инциденты – те, которые:

– воздействуют на очень важные ИС,

– приводят к катастрофическим бизнес-потерям или

– вызывают огромные социальные проблемы (увольнения).

Серьёзные инциденты – те, которые:

– воздействуют на очень важные или важные ИС,

– приводят к серьезным бизнес-потерям или

– вызывают большие социальные проблемы (забастовки).