6.6. Реагирование на инциденты иб

Политика безопасности, принятая организацией, должна пред*'; усматривать набор оперативных мероприятий, направленных на обнаружение и нейтрализацию нарушений ИБ. Важно, чтобы в подобных случаях последовательность действий была спланирована заранее, поскольку меры нужно принимать срочные и скоординированные.

Так. в Стандарте Банка России указано: «Организации следует разработать и внедрить план обеспечения непрерывности бизнеса (деятельности) и восстановления после прерываний. Данный план и соответствующие процессы восстановления должны пересматриваться на регулярной основе и своевременно обновляться (например, при существенных изменениях в операционной деятельности, организационной структуре, бизнес-процессах и автоматизированных банковских системах). Эффективность документированных процедур восстановления необходимо периодически проверять и тестировать (как минимум на полугодовой основе). С данным планом должны быть ознакомлены все сотрудники, отвечающие за его выполнение и вовлеченные в процессы восстановления.

В качестве методологической основы при разработке плана могут быть использованы общепринятые международные стандарты, регулирующие вопросы менеджмента непрерывности бизнеса (например, ВSI PAS—56)».

Реакция на нарушения режима безопасности преследует две главные цели [6]:

• блокирование нарушителя и уменьшение наносимого вреда;

• недопущение повторных нарушений.

В проекте документа [41] приведены группы требований к ре­агированию на инциденты нарушения безопасности. Это требования:

• к политике и процедурам управление инцидентами;

• обучению действиям по управлению инцидентами;

• проверке эффективности управления инцидентами;

• обработке инцидентов;

• мониторингу инцидентов;

• составлению отчетов об инцидентах;

• информационной поддержке процесса обработки инцидентов.

Требования к политике и процедурам управления инцидентами означают, что на предприятии должны разрабатываться, документироваться и периодически обновляться политика реагирования на инциденты нарушения безопасности, а также процедуры и меры, связанные с ее реализацией.

Требования к обучению действиям по реагированию на инциденты нарушения безопасности устанавливают, что эксплуатирующий персонал обязан пройти подготовку (с установленной периодичностью — переподготовку) по вопросам ответственности и обязанностей при осуществлении действий по реагированию на инциденты нарушения, безопасности. В процессе подготовки эксплуатирующего персонала моделируются соответствующие события, позволяющие ему в будущем эффективно выполнить требуемые действия при возникновении кризисных ситуаций. Желательно использование автоматизированных средств.

Эффективность действий по реагированию на инциденты нарушения безопасности требует проведения периодических проверок с использованием соответствующих тестов (проверочных последовательностей действий). Желательно использование автоматизированных средств.

Требования к обработке инцидентов: возможности по обработке инцидентов должны включать обнаружение, анализ, предотвращение развития, устранение инцидентов нарушения безопасности и восстановление безопасности после инцидентов. Для этого желательно использование автоматизированных средств.

Требования по мониторингу инцидентов: инциденты нарушения безопасности ИТ должны отслеживаться и документироваться на постоянной основе. Для отслеживания инцидентов; нарушения безопасности, сборе и анализе информации об инцидентах; используются автоматизированные средства. Об инцидентах необходимо представлять отчеты в установленные органы в соответ­ствии с установленной формой, периодичностью и перечнем органов.

На предприятии должны иметься необходимые ресурсы (рекомендации, указания, справочная информация) поддержки пользователей для обеспечения процесса обработки инцидентов.