Политика расследования инцидентов информационной безопасности

Политика в сфере реагирования ни инциденты информационной безопасности разрабатывается с учётом специфики организации, профиля её деятельности. Вместе с тем, существуют обязательные элементы политики, независящие от того является ли организация закрытой (банки, госучреждения, и.т.д.) или публичной (СМИ, рекламные агентства, и.т.д.). К данным элементам относятся:

• понимание руководством организации необходимости реагирования на инциденты информационной безопасности

• управление процедурой расследования инцидентов информационной безопасности

• определение целей и места политики расследования инцидентов в общей структуре процессов управления безопасностью и организацией в целом (политика расследования инцидентов является частью процесса обеспечения непрерывности функционирования организации)

• определение понятий “инцидент информационной безопасности” и “последствия инцидента информационной безопасности” в контексте сферы деятельности организации

• описание состава, структуры, функциональных обязанностей, зон ответственности, ролей, правил внутриорганизационного взаимодействия, порядка внешних сношений команды по расследованию инцидентов информационной безопасности

• порядок установления приоритетов инцидентов и оценки серьёзности последствий инцидентов информационной безопасности

• оценка критериев качества работы команды по расследованию инцидентов

• разработка форм отчётности и регламента оповещений об инциденте

• разработка набора процедур, описывающих действие сотрудников организации в случае инцидента информационной безопасности (выделенный телефон, адрес электронной почты)

• разработка стандартных операционных процедур (SOPs – Standard Operating Procedures), подробно описывающих действия сотрудников команды реагирования в процессе обработки инцидента информационной безопасности

• порядок пересмотра, тестирования и актуализации стандартных операционных процедур

Структура команды по расследованию инцидентов информационной безопасности

Команда реагирования на инциденты информационной безопасности должна быть доступна сотруднику организации любого уровня. В расследовании инцидента, в зависимости от его сложности, принимает участие один или более сотрудников команды. Руководитель команды анализирует свидетельства инцидента и принимает решение о количестве и составе команды расследования, при необходимости привлекая к расследованию уполномоченных сотрудников других подразделений.

Существуют три основных типа моделей структуры команды реагирования:

• централизованная модель – реализована в виде единственной на всю организацию структуры, состоящей из трёх линий поддержки: call center (телефон горячей линии), специалисты технической поддержки (управление средствами сбора и анализа данных), группа расследования (аналитическая служба). Данная модель применима к небольшим организациям, в которых отсутствует географически распределённая сеть филиалов

• распределённая модель – реализована на основе централизованной модели управления. Отличие данной модели от централизованной заключается в наличие дочерних структур в крупных филиалах организации или удалённых вычислительных центрах. В данном случае структура команды реагирования головного офиса дополняется службой координации и централизованного хранения данных об инцидентах информационной безопасности

• корпоративная модель – реализована по принципу центра компетенции. Координационный совет по вопросам реагирования на инциденты информационной безопасности обрабатывает консолидированную информацию от юридических лиц, входящих в корпорацию, и координирует действия дочерних структур

Существуют три основные модели комплектации структуры команды реагирования персоналом:

• организация выполняет всю работу, связанную с обработкой инцидента самостоятельно, силами собственного персонала

• в состав команды расследования инцидентов привлекаются сотрудники профилирующих фирм. Данная модель внедряется в организациях, которые обеспечивают доступность своих ресурсов по схеме 24/7. В данном случае возможен вариант, когда реагирование и первичную обработку берёт на себя фирма, предоставляющая услуги аутсорсинга, а расследование инцидента внутри организации – местная команда реагирования

• процедура реагирования и обработки инцидентов полностью передаётся на обслуживание профилирующей фирме. Данная модель хорошо подходит организациям, которые в силу объективных причин не могут заниматься обработкой инцидентов, но нуждаются в подобном функционале

Факторы, влияющие на выбор модели:

• требуемая доступность информационной системы составляет 24 часа в сутки, 7 дней в неделю

• полная или частичная занятость сотрудников. На данный фактор следует обращать внимание в случае частичной занятости сотрудников. Необходимо предусмотреть возможность экстренной связи с персоналом.

• квалификация персонала. Обработка инцидентов информационной безопасности требует специальных знаний программно-аппаратных средств защиты информации. Организация должна учитывать данный фактор при привлечении IT специалистов к процедуре сопровождения инцидентов.

• стоимость сопровождения инцидентов информационной безопасности. Организация должна оценить стоимость сопровождения инцидентов информационной безопасности и определить наиболее выгодную для себя модель.

• организационная структура. В случае корпоративного подхода к моделированию обработки инцидентов, очевидным является решение о существовании самостоятельных команд по расследованию инцидентов информационной безопасности в составе каждого юридического лица. При этом эффективным решением будет создание координационного центра в головном представительстве организации.

Факторы, влияющие на выбор модели в случае привлечения стороннего обслуживания:

• процедура перманентного контроля качества оказания услуг. Организация контролирует качество оказания услуг сторонней организацией. С этой целью необходимо внедрить процедуру мониторинга событий информационной безопасности, сбор статистических данных об инцидентах, с целью отслеживания динамики роста (падения) числа событий и способности системы безопасности пресекать попытки вторжения.

• разделение полномочий в части администрирования. Приоритет принятия решений о перезагрузке оборудования, смены учётных данных пользователей, прочих действий, необходимость в которых возникает в процессе реагирования на инциденты, должен быть оговорен отдельно и формализован в виде руководящего документа.

• разграничение доступа к информации. Организация прорабатывает вопросы, связанные с защитой конфиденциальной информацией. В общем случае, сторонняя организация не должна иметь достаточных оснований для проведения анализа структуры организации, персональных данных сотрудников, деловой переписки, распределённых каталогов хранения документов организации, прочих критичных активов.

• понимание инфраструктуры организации. Организация формирует представления о своей деятельности для фирмы-поставщика услуг с целью правильного понимания инцидентов информационной безопасности. Организация формулирует и формализует в виде руководящего документа своё видение инцидентов, регулярно актуализирует и обновляет предоставляемую информацию.

• корреляция свидетельств инцидентов. Организация способствует внедрению систем корреляции событий информационной безопасности. Автоматизированные системы корреляции и консолидации событий довольно сложны и чрезвычайно полезны одновременно. Данный класс систем требует специального обслуживания компетентными специалистами.

• обработка инцидентов. Организация определяет необходимость присутствия представителя фирмы-поставщика услуг в процессе расследования инцидента.

• способность реагировать на инциденты самостоятельно. Организация должна стремиться самостоятельно реагировать на инциденты информационной безопасности. В процессе развития инцидента может сложиться ситуация, когда фирма-поставщик услуг окажется недоступной. Для данной ситуации организация разрабатывает и внедряет аварийный план реагирования, обработки и выхода из инцидента.