Управление инцидентами информационной безопасности на объектах информатизации с учетом нейтрализации воздействия человеческого фактора. Учебное пособи

21

Рис. 2. Модель методики управления инцидентами ИБ на объекте информатизации

Последовательность действий методики управления инцидентами ИБ включает следующие этапы:

1. Администратор ИБ (или другой уполномоченный сотрудник, отвеча-

ющий за обеспечение ИБ) заполняет анкету внесения первичной информации

об объекте, а также корректирует ее в процессе деятельности при изменении

первичных данных. Данная анкета позволяет оценить базовый уровень опасности инцидента ИБ для объекта.

2. SIEM-система обеспечивает непрерывный мониторинг событий ИБ. И

в случае фиксации симптома происхождения инцидента ИБ выдает сигнал об

обнаружении. Администратор ИБ, получив сигнал от SIEM-системы, находит соответствующий симптом в базе данных.

3. Благодаря информации, представленной в базе данных, а также полу-

ченной на этапе 1 оценки базового уровня опасности инцидента ИБ для объек-

та, Администратор ИБ может оперативно оценить опасность конкретного ин-

22

цидента (на основе расчетов по формуле 1 п. 2.3) и ознакомиться с контрмерами, которые необходимо применить для нейтрализации инцидента.

4. В случае если SIEM-системой зарегистрирован инцидент, который не-

возможно точно классифицировать, он оценивается как класс симптомов БД

«Выявление аномалий, существенных отклонений параметров объекта защиты или его поведения от ранее установленной нормы» и, соответственно, контрме-

ры и опасность анализируются по данному типу симптома. Если контрмеры

данного класса симптомов оказались неэффективны, с помощью заполнения

анкеты внесения прецедентов в БД Администратор имеет возможность вынести

аномалию в отдельный класс симптомов, отсортировать в один из имеющихся, а также добавить перечень мер, которые помогли в нейтрализации инцидента или его последствий, для того чтобы при повторении ситуации оперативно ее разрешить.

Данная методика позволяет обеспечить эффективный непрерывный про-

цесс управления инцидентами ИБ.

2.1. ДЕТАЛИЗИРОВАННОЕ ОПИСАНИЕ ЭТАПА 1 МЕТОДИКИ УПРАВЛЕНИЯ ИНЦИДЕНТАМИ ИБ

На первом этапе работы, связанной с управлением инцидентами ИБ, Ад-

министратор ИБ (или другой уполномоченный сотрудник, отвечающий за

обеспечение ИБ) заполняет анкету внесения первичной информации об объек-

те, а также корректирует ее в процессе деятельности при изменении первичных данных.

Заполнение данной анкеты необходимо для оценки базового уровня опас-

ности инцидента ИБ для объекта.

В табл. 6 представлена анкета к заполнению. Данная анкета может перезаполняться неоднократно в том случае, если изменилась специфика деятельности организации или ее рентабельность. В табл. 7 приведен порядок расшиф-

ровки полученных показателей (фрагмент для объектов обрабатывающих ПДн,

полностью порядок приведен в приложении 1). В зависимости от набора выбранных ответов определяется базовый уровень опасности инцидента ИБ для объекта.

23

Таблица 6

Анкета внесения первичной информации

№ п/п

Вопрос

1.

Какие данные обрабатываются в системе? (Если на объекте обрабатывается несколько видов информации одновременно, за основу берется тот вид, который находится выше в вариантах ответа, например, если обрабатываются ПДн и КТ — расчет производится по ПДн, если КТ и общедоступная информация — по КТ)

персональные данные

коммерческая тайна

иная ценная с точки зрения конкурентного преимущества (например, данные о датах назначенных встреч с клиентами)

общедоступная информация

2.

Укажите среднюю сумму чистого дохода организации за последние 3 года

3.

Укажите общую стоимость активов организации, с помощью которых ведется обра-

ботка информации (сервер, АРМ, ПО, СЗИ, иное обеспечивающее техническое оборудование)

4.

Укажите среднее число клиентов в день, с учетом данных за последний год. (В данном пункте ставится ответ 0, если работа системы не влияет на оказание услуг клиентам или не связана с ней)

5.

Укажите среднюю сумму одной закрытой клиентской сделки. (Рассчитывается как среднее арифметическое от всех сделок за последние полгода. В данном пункте ставится ответ 0, если работа системы не влияет на оказание услуг клиентам или не связана с ней)

6.

Укажите уровень конкуренции в сфере деятельности объекта

Низкий (в населенном пункте, в котором расположен объект предприятия оказыва-

ющие схожие услуги отсутствуют)

Средний (в населенном пункте, в котором расположен объект и близлежащих насе-

ленных пунктах имеется не более двух предприятий, оказывающих схожие услуги)

Высокий (в населенном пункте, в котором расположен объект и близлежащих насе-

ленных пунктах имеется более двух предприятий, оказывающих схожие услуги)

24

Таблица 7

Порядок оценки базового уровня

опасности инцидента ИБ для объекта (фрагмент)

В1

В2

В3

В4

В5

В6

Базовый уровень

опасности инцидента

для объекта

ПДн

До 1 млн руб.

Менее 100 тыс. руб.

Менее 10

Менее 50 тыс. руб.

Низкий

Средний

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

От 10 до 100

Менее 50 тыс. руб.

Низкий

Средний

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

25

В1

В2

В3

В4

В5

В6

Базовый уровень

опасности инцидента

для объекта

Более 100

Менее 50 тыс. руб.

Низкий

Средний

Высокий

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

Свыше 500 тыс. руб..

Низкий

Средний

Высокий

От 100 до 1 млн руб.

Менее 10

Менее 50 тыс. руб.

Низкий

Средний

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

От 10 до

100

Менее 50 тыс. руб.

Низкий

Средний

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

26

В1

В2

В3

В4

В5

В6

Базовый уровень

опасности инцидента

для объекта

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

Более 100

Менее 50 тыс. руб.

Низкий

Средний

Высокий

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

Свыше 1 млн руб.

Менее 10

Менее 50 тыс. руб.

Низкий

Средний

Высокий

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

Очень высокий

Свыше 500 тыс. руб.

Низкий

Высокий

Средний

Очень высокий

Высокий

Очень высокий

От 10 до

100

Менее 50 тыс. руб.

Низкий

Средний

Высокий

27

В1

В2

В3

В4

В5

В6

Базовый уровень

опасности инцидента

для объекта

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

Очень высокий

Свыше 500 тыс. руб.

Низкий

Высокий

Средний

Очень высокий

Высокий

Очень высокий

Более 100

Менее 50 тыс. руб.

Низкий

Высокий

Средний

Высокий

Очень высокий

От 50 до 500 тыс. руб.

Низкий

Высокий

Средний

Высокий

Очень высокий

Свыше 500 тыс. руб.

Низкий

Высокий

Средний

Очень высокий

Высокий

Очень высокий

От 1 млн руб. до 3 млн руб.

Менее 100 тыс. руб.

Менее 10

Менее 50 тыс. руб.

Низкий

Очень низкий

Средний

Низкий

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Низкий

Высокий

Средний

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

Средний

28

В1

В2

В3

В4

В5

В6

Базовый уровень

опасности инцидента

для объекта

От 10 до 100

Менее 50 тыс. руб.

Низкий

Очень низкий

Средний

Низкий

Высокий

Низкий

От 50 до 500 тыс. руб.

Низкий

Средний

Низкий

Высокий

Средний

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

Средний

Более 100

Менее 50 тыс. руб.

Низкий

Средний

Низкий

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Низкий

Высокий

Средний

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

От 100 до 1 млн руб.

Менее 10

Менее 50 тыс. руб.

Низкий

Средний

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

Средний

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

Средний

29

В1

В2

В3

В4

В5

В6

Базовый уровень

опасности инцидента

для объекта

От 10 до 100

Менее 50 тыс. руб.

Низкий

Средний

Низкий

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Низкий

Высокий

Средний

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

Средний

Более 100

Менее 50 тыс. руб.

Низкий

Средний

Низкий

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Низкий

Высокий

Средний

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

Средний

Свыше 1 млн руб.

Менее 10

Менее 50 тыс. руб.

Низкий

Средний

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

Свыше 500 тыс. руб..

Низкий

Средний

Высокий

30

В1

В2

В3

В4

В5

В6

Базовый уровень

опасности инцидента

для объекта

От 10 до

100

Менее 50 тыс. руб.

Низкий

Средний

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

Более 100

Менее 50 тыс. руб.

Низкий

Средний

Высокий

От 50 до 500 тыс. руб.

Низкий

Средний

Высокий

Свыше 500 тыс. руб.

Низкий

Средний

Высокий

Свыше 3 млн руб.

Менее 100 тыс. руб.

Менее 10

Менее 50 тыс. руб.

Низкий

Очень низкий

Средний

Низкий

Высокий

Средний

От 50 до 500 тыс. руб.

Низкий

Средний

Низкий

Высокий

Средний