Управление информационной безопасностью. Стандарты СУИБ (СИ) - Гребенников Вадим Викторович

– процедуры, которые гарантируют, что все действия по управлению инцидентами ИБ должным образом зафиксированы, и что лог-анализ проводит уполномоченный персонал;

– процедуры и механизмы, которые гарантируют, что режим изменений контроля поддерживается, обеспечивая мониторинг событий, инцидентов и уязвимостей ИБ и обновление отчетов о событиях / инцидентах / уязвимостях ИБ, а также обновление непосредственно схемы;

– процедуры правового анализа инцидента ИБ;

– процедуры и директивы по использованию систем обнаружения вторжения (Intrusion Detection System, IDS) и предотвращения вторжения (Intrusion Prevention System, IРS), которые гарантируют обеспечение связанных с ними правовых и нормативных аспектов. Директивы должны включать перечень преимуществ и недостатков обеспечения контроля вторжений;

– директивы и процедуры взаимосвязаны с техническими и организационными механизмами, которые установлены, внедрены и задействованы для того, чтобы предотвращать возникновение инцидента ИБ и сокращать их вероятность, и обрабатывать инциденты ИБ по мере их возникновения;

– материал для осведомленности и программы обучения по вопросам управления событиями, инцидентами и уязвимостями ИБ;

– процедуры и спецификации для тестирования схемы управления инцидентами ИБ;

– схема организационной структуры управления инцидентами ИБ;

– сферы полномочий и ответственности ГРИИБ в целом и ее членов в отдельности;

– важная контактная информация.

Для 2-й фазы – обнаружение и оповещение:

– обнаружение и оповещение о событиях ИБ (человеком или автоматическими средствами),

– сбор информации о событиях ИБ,

– обнаружение и оповещение об уязвимостях ИБ,

– полная запись всей собранной информации в базе данных уязвимости / инцидента / события ИБ.

Для 3-й фазы – оценка и принятие решения:

– проведение группой поддержки оценки события ИБ (включая, если потребуется, его детализацию), используя принятую шкалу классификации событий / инцидентов ИБ с определением возможности его классификации как инцидента ИБ,

– подтверждение ГРИИБ, является ли событие инцидентом ИБ, поэтому им нужно применять другую оценку, используя принятую шкалу классификации событий / инцидентов ИБ, чтобы подтвердить детали события (потенциального инцидента) и его влияния на ресурс (категоризация). Это нужно завершить решением о том, кто, как и с каким приоритетом обработает подтвержденный инцидент ИБ,

– оценка уязвимости ИБ (которая еще не создала события и потенциальный инцидент ИБ) с принятием решения о необходимости ее обработки, кто, как и в том, какой приоритет.

– полная запись всей информации в базе данных уязвимости / инцидента / события ИБ.

Для 4-й фазы – реагирования:

– отчет ГРИИБ для определения, находится ли инцидент ИБ под контролем, и:

• если инцидент под контролем, инициировать реагирование немедленно (в реальном времени) или позже,

• если инцидент не под контролем или возможно серьезное влияние на критические сервисы организации, инициировать кризисные действия вплоть до эскалации антикризисного управления;

– определение всех функций и организаций (внешних и внутренних), необходимых для схемы управления инцидентами;

– локализация и ликвидация инцидента ИБ путем смягчения или предотвращения расширения границ и степени воздействия инцидента;

– оповещение о существовании инцидента ИБ или любых связанных с этим деталей других внутренних и внешних лиц или организаций;

– документальное завершение и внесение записей об успешнм разрешении инцидента ИБ в базу данных уязвимостей / инцидентов / событий ИБ;

– проведение правового анализа, если потребуется;

– проверка правильности регистрации всей деятельности для дальнейшего анализа,

– сбор и сохранность результатов правовой экспертизы;

– поддержка режима контроля изменений и обновлений базы данных уязвимостей / инцидентов / событий ИБ;

– поиск взаимосвязей с уязвимостями ИБ.

В документации схемы управления инцидента ИБ предусматривается возможность как немедленного, так и более длительного реагирования на инциденты ИБ. Для всех инцидентов ИБ требуется своевременная оценка потенциальных негативных воздействий, как кратковременных, так и более длительных (например, крупномасштабное бедствие может произойти через некоторое время после первого инцидента ИБ). Более того, некоторые виды реагирования могут потребоваться для совершенно непредвиденных инцидентов ИБ, когда возникнет необходимость в специальных защитных мерах. Даже для этой ситуации организация должна включить в схемную документацию общее руководство по таким специальным защитным мерам.

Для 5-й фазы – извлечение уроков:

– идентификация уроков обработки инцидентов и уязвимостей ИБ;

– идентификация и внедрение улучшений средств защиты (новых и/или усовершенствованных) как в соответствии с политикой управления инцидентами ИБ, так и в результате полученных уроков;

– идентификация и внедрение улучшений оценки и управления рисками ИБ в результате полученных уроков;

– рассмотрение, насколько эффективны процессы, процедуры, форматы отчетов и/или организационная структура в оценке каждого инцидента ИБ и восстановлении после него и работе с уязвимостью ИБ, и на основании полученных уроков идентификация и внедрение улучшений схемы управления инцидента ИБ и ее документации;

– обновление базы данных уязвимостей / инцидентов / событий ИБ;

– проведение, если потребуется, дальнейшей правовой экспертизы;

– взаимосвязь и обмен результатами обзора с доверенными сторонами (если организация пожелает).

При разработке схемы необходимо учитывать следующие факторы:

– категории и классы инцидентов;

– формы учета инцидентов;

– рабочие процедуры;

– доверие персонала;

– конфиденциальность информации

Категории и классы инцидентов

Категория инцидента / события ИБ зависит от вида угрозы. Инциденты ИБ могут быть вызваны преднамеренными или случайными действиями человека или природными катаклизмами, техническими или физическими средствами.

Шкала классификации инцидента / события ИБ зависит от степени серьёзности воздействия инцидентов / событий на активы или бизнес-операции организации.

Такая шкала может быть простой и иметь только 2 класса инцидента:

– значительный;

– незначительный.

Шкалу можно сделать более сложной, имеющую 4 класса инцидента:

– класс IV – очень серьёзный;

– класс III – серьёзный;

– класс II – менее серьёзный;

– класс I – несерьёзный.

Очень серьёзные инциденты – те, которые:

– воздействуют на очень важные ИС,

– приводят к катастрофическим бизнес-потерям или

– вызывают огромные социальные проблемы (увольнения).

Серьёзные инциденты – те, которые:

– воздействуют на очень важные или важные ИС,

– приводят к серьезным бизнес-потерям или

– вызывают большие социальные проблемы (забастовки).

Менее серьёзные инциденты – те, которые:

– воздействуют на важные или обычные ИС,

– приводят к значительным бизнес-потерям или

– вызывают значительные социальные проблемы (митинги).

Несерьёзные инциденты – те, которые:

– воздействуют на обычные ИС,

– приводят к незначительным бизнес-потерям или их отсутствию,

– вызывают незначительные социальные проблемы или их не вызывают,

– не требуются никаких действий и нет последствий.

Взимосвязь категорий и классов

Категория и класс серьёзности инцидента ИБ часто взаимосвязаны. Одна категория инцидента ИБ может иметь различные классы серьёзности в зависимости как от бизнеса, так и природы инцидента ИБ, например, мотива, цели, времени, уровня.

Формы отчета об инцидентах

Формы отчета об уязвимости / инциденте / событии ИБ ведутся для: