Управление информационной безопасностью. Стандарты СУИБ
Шрифт:
– стандартизированные форматы базы данных уязвимости / инцидента / события ИБ для обмена информацией, который обеспечивает возможность совместного использования сравнительных результатов сообщений/тревог, улучшает аварийную информацию и допускает более точное представление об угрозах и уязвимостях информационных систем;
– директивы для решения, требуется ли антикризисная деятельность в течение каждого процесса, и для кого и каких процедур. На основании директив по обеспечению документации схемы управления инцидентами ИБ кто-либо, оценивая событие, инцидент или уязвимость ИБ должен знать, в каких обстоятельствах
– процедуры, которые гарантируют, что все действия по управлению инцидентами ИБ должным образом зафиксированы, и что лог-анализ проводит уполномоченный персонал;
– процедуры и механизмы, которые гарантируют, что режим изменений контроля поддерживается, обеспечивая мониторинг событий, инцидентов и уязвимостей ИБ и обновление отчетов о событиях / инцидентах / уязвимостях ИБ, а также обновление непосредственно схемы;
– процедуры правового анализа инцидента ИБ;
– процедуры и директивы по использованию систем обнаружения вторжения (Intrusion Detection System, IDS) и предотвращения вторжения (Intrusion Prevention System, IРS), которые гарантируют обеспечение связанных с ними правовых и нормативных аспектов. Директивы должны включать перечень преимуществ и недостатков обеспечения контроля вторжений;
– директивы и процедуры взаимосвязаны с техническими и организационными механизмами, которые установлены, внедрены и задействованы для того, чтобы предотвращать возникновение инцидента ИБ и сокращать их вероятность, и обрабатывать инциденты ИБ по мере их возникновения;
– материал для осведомленности и программы обучения по вопросам управления событиями, инцидентами и уязвимостями ИБ;
– процедуры и спецификации для тестирования схемы управления инцидентами ИБ;
– схема организационной структуры управления инцидентами ИБ;
– сферы полномочий и ответственности ГРИИБ в целом и ее членов в отдельности;
– важная контактная информация.
Для 2-й фазы – обнаружение и оповещение:
– обнаружение и оповещение о событиях ИБ (человеком или автоматическими средствами),
– сбор информации о событиях ИБ,
– обнаружение и оповещение об уязвимостях ИБ,
– полная запись всей собранной информации в базе данных уязвимости / инцидента / события ИБ.
Для 3-й фазы – оценка и принятие решения:
– проведение группой поддержки оценки события ИБ (включая, если потребуется, его детализацию), используя принятую шкалу классификации событий / инцидентов ИБ с определением возможности его классификации как инцидента ИБ,
– подтверждение ГРИИБ, является ли событие инцидентом ИБ, поэтому им нужно применять другую оценку, используя принятую шкалу классификации событий / инцидентов ИБ, чтобы подтвердить детали события (потенциального инцидента) и его
– оценка уязвимости ИБ (которая еще не создала события и потенциальный инцидент ИБ) с принятием решения о необходимости ее обработки, кто, как и в том, какой приоритет.
– полная запись всей информации в базе данных уязвимости / инцидента / события ИБ.
Для 4-й фазы – реагирования:
– отчет ГРИИБ для определения, находится ли инцидент ИБ под контролем, и:
• если инцидент под контролем, инициировать реагирование немедленно (в реальном времени) или позже,
• если инцидент не под контролем или возможно серьезное влияние на критические сервисы организации, инициировать кризисные действия вплоть до эскалации антикризисного управления;
– определение всех функций и организаций (внешних и внутренних), необходимых для схемы управления инцидентами;
– локализация и ликвидация инцидента ИБ путем смягчения или предотвращения расширения границ и степени воздействия инцидента;
– оповещение о существовании инцидента ИБ или любых связанных с этим деталей других внутренних и внешних лиц или организаций;
– документальное завершение и внесение записей об успешнм разрешении инцидента ИБ в базу данных уязвимостей / инцидентов / событий ИБ;
– проведение правового анализа, если потребуется;
– проверка правильности регистрации всей деятельности для дальнейшего анализа,
– сбор и сохранность результатов правовой экспертизы;
– поддержка режима контроля изменений и обновлений базы данных уязвимостей / инцидентов / событий ИБ;
– поиск взаимосвязей с уязвимостями ИБ.
В документации схемы управления инцидента ИБ предусматривается возможность как немедленного, так и более длительного реагирования на инциденты ИБ. Для всех инцидентов ИБ требуется своевременная оценка потенциальных негативных воздействий, как кратковременных, так и более длительных (например, крупномасштабное бедствие может произойти через некоторое время после первого инцидента ИБ). Более того, некоторые виды реагирования могут потребоваться для совершенно непредвиденных инцидентов ИБ, когда возникнет необходимость в специальных защитных мерах. Даже для этой ситуации организация должна включить в схемную документацию общее руководство по таким специальным защитным мерам.
Для 5-й фазы – извлечение уроков:
– идентификация уроков обработки инцидентов и уязвимостей ИБ;
– идентификация и внедрение улучшений средств защиты (новых и/или усовершенствованных) как в соответствии с политикой управления инцидентами ИБ, так и в результате полученных уроков;
– идентификация и внедрение улучшений оценки и управления рисками ИБ в результате полученных уроков;
– рассмотрение, насколько эффективны процессы, процедуры, форматы отчетов и/или организационная структура в оценке каждого инцидента ИБ и восстановлении после него и работе с уязвимостью ИБ, и на основании полученных уроков идентификация и внедрение улучшений схемы управления инцидента ИБ и ее документации;