6.6 Реагирование на инциденты иб

Политика безопасности, принятая организацией, должна предусматривать набор оперативных мероприятий, направленных на обнаружение и нейтрализацию нарушений ИБ. Важно, чтобы в подобных случаях последовательность действий была спланирована заранее, поскольку меры нужно принимать срочные и скоординированные.

Так, в Стандарте Банка России указано: «Организации следует разработать и внедрить план обеспечения непрерывности бизнеса (деятельности) и восстановления после прерываний. Данный план и соответствующие процессы восстановления должны пересматриваться на регулярной основе и своевременно обновляться (например, при существенных изменениях в операционной деятельности, организационной структуре, бизнес-процессах и автоматизированных банковских системах). Эффективность документированных процедур восстановления необходимо периодически проверять и тестировать (как минимум на полугодовой основе). С данным планом должны быть ознакомлены все сотрудники, отвечающие за его выполнение и вовлеченные в процессы восстановления.

В качестве методологической основы при разработке плана могут быть использованы общепринятые международные стандарты, регулирующие вопросы менеджмента непрерывности бизнеса (например, BSI PAS_56)».

Реакция на нарушения режима безопасности преследует две главные цели [18]:

• блокирование нарушителя и уменьшение наносимого вреда,

• недопущение повторных нарушений.

В проекте документа [19] приведены следующие группы требований к реагированию на инциденты нарушения безопасности:

• требования к политике и процедурам управление инцидентами;

• требования к обучению действиям по управлению инцидентами;

• требования по проверке эффективности управления инцидентами;

• требования к обработке инцидентов;

• требования по мониторингу инцидентов;

• требования к составлению отчетов об инцидентах;

• требования к информационной поддержке процесса обработки инцидентов.

Требования к политике и процедурам управление инцидентами означают, что на предприятии должны разрабатываться, документироваться и периодически обновляться политика реагирования на инциденты нарушения безопасности, а также процедуры и меры, связанные с реализацией политики реагирования на инциденты нарушения безопасности.

Требования к обучению действиям по реагированию на инциденты нарушения безопасности устанавливают, что эксплуатирующий персонал должен пройти подготовку (с установленной периодичностью – переподготовку) по вопросам ответственности и обязанностей при осуществлении действий по управлению реагированию на инциденты нарушения безопасности. В процессе подготовки эксплуатирующего персонала должны моделироваться соответствующие события, что поможет в будущем персоналу эффективно выполнить требуемые от него действия при возникновении кризисных ситуаций. При этом желательно использование автоматизированных средств.

Требования по проверке эффективности действий по реагированию на инциденты нарушения безопасности говорят о том, что должна осуществляться периодическая проверка эффективности действий по реагированию на инциденты нарушения безопасности с использованием соответствующих тестов (проверочных последовательностей действий). Для этого желательно использование автоматизированных средств.

Требования к обработке инцидентов: возможности по обработке инцидентов должны включать обнаружение, анализ, предотвращение развития, устранение инцидентов нарушения безопасности и восстановление безопасности после инцидентов. Для этого желательно использование автоматизированных средств.

Требования по мониторингу инцидентов: инциденты нарушения безопасности ИТ должны отслеживаться и документироваться на постоянной основе. Для отслеживания инцидентов нарушения безопасности, сборе и анализе информации об инцидентах должны использоваться автоматизированные средства. Об инцидентах необходимо представлять отчеты в установленные органы в соответствии с установленной формой, периодичностью и перечнем органов.

На предприятии должны иметься необходимые ресурсы (рекомендации, указания, справочная информация) поддержки пользователей для обеспечения процесса обработки инцидентов.