технические навыки и ресурсы для действенного контроля выполнения требований договоров, особенно требований ИБ. Следует предпринимать соответствующие действия при выявлении недостатков в оказании услуг.
Организация должна сохранить достаточный общий контроль и наблюдение за всеми аспектами безопасности чувствительных или критичных данных или средств их обработки, доступных, используемых или управляемых поставщиком. Организация должна сохранить наблюдение за действиями безопасности, такими как управление изменением, выявление уязвимостей и оповещение и реагирование на инцидент ИБ в течение определенного процесса оповещения.
Управление изменениями услуг
Меры и средства
Изменения в оказании поставщиками услуг, включая поддержку и улучшение существующих политик ИБ, процедур и мер защиты, должны управляться с учетом критичности бизнес информации, связанных систем и процессов и повторной оценки рисков.
Рекомендации по реализации
Следующие аспекты должны быть рассмотрены:
— изменения в договорах с поставщиками;
— изменения, сделанные организацией для:
• усовершенствования действующих услуг;
• разработки новых приложений и систем;
• модификации или обновления процессов и процедур организации;
• новых или изменения мер по решению инцидентов ИБ и улучшению безопасности;
— изменения услуг поставщика для:
• изменения или усовершенствования сетей;
• использования новых технологий;
• выбора новых продуктов или новых версий/релизов;
• новых инструментов и сред разработки;
• изменения места расположения средств оказания услуг;
• замены поставщиков;
• субподряда другого поставщика.
12. Управление инцидентами ИБ
12.1. Управление инцидентами ИБ и улучшение
Цель: Обеспечить бесперебойное и результативное выявление инцидентов ИБ, включая оповещение о событиях безопасности и уязвимости, и управление ими.
Выявление инцидентов ИБ обеспечивают следующие меры:
— ответственность и процедуры;
— оповещение о событиях;
— оповещение о недостатках;
— оценка событий и решения.
Управление инцидентами ИБ обеспечивают следующие меры:
— реагирование на инциденты;
— извлечение уроков из инцидентов;
— сбор правовых доказательств.
Ответственность и процедуры
Меры и средства
Должна быть установлена ответственность и процедуры для обеспечения быстрой, эффективной и правильной реакции на инциденты ИБ.
Рекомендации по реализации
Необходимо учитывать следующие рекомендации:
— ответственные лица должны гарантировать, что следующие процедуры разработаны и адекватно функционируют внутри организации:
• процедуры планирования и подготовки реагирования на инцидент;
• процедуры мониторинга, выявления, анализа и оповещения о событиях и инцидентах;
• процедуры регистрации действий по управлению инцидентами;
• процедуры сбора правовых доказательств;
• процедуры оценки событий, уязвимостей и решения событий;
• процедуры реагирования, включая эскалацию, восстановление и оповещение всех заинтересованных сторон (внутренних и внешних);
— процедуры должны обеспечивать уверенность того, что:
• компетентный персонал решит проблему инцидента внутри организации;
• контактные лица для выявления инцидентов и оповещения о них определены;
• соответствующие контакы со специальными группами или форумами специалистов, которые способны решить проблему инцидента, поддерживаются;
— процедуры отчетов должны содержать:
• подготовку формы отчета о событиии ИБ, соответствующей проводимым действиям и помогающей тому, кто заполняет отчет, запомнить все необходимые действия в случае события ИБ;
• процедуру, принятую в случае события ИБ, например, немедленная запись всех деталей события таких типов, как несоответствие или брешь, происходящий сбой, уведомление на экране, немедленное оповещение контактного лица и осуществление только координированных действий;
• ссылку на формальный дисциплинарный процесс в отношении сотрудников, допустивших бреши ИБ;
• соответствующие процессы обратной связи, обеспечивающие информирование тех, кто оповестил о событии ИБ, о результатах решения и закрытии проблемы.
Цели управления инцидентами ИБ должны быть согласованы с общим управлением и гарантировать, что ответственность за управление инцидентами ИБ является приоритетом организации для обработки инцидентов ИБ.
Оповещение о событиях ИБ
Меры и средства
События ИБ должны быть сообщены по соответствующим управляемым каналам, как можно быстрее.
Рекомендации по реализации
Все сотрудники должны знать о своей обязанности оповещения о событиях ИБ как можно быстрее. Они должны быть ознакомлены с процедурой оповещения о событиях ИБ и контактным лицом, кого надо оповестить.
Ситуации, относящиеся к событиям ИБ, включают:
— неэффективную меру защиты;
— брешь в целостности, конфиденциальности и доступности информации;
— человеческие ошибки;
— несоответствие политике и правилам;
— бреши в мерах физической безопасности;
— неконтролируемые системные изменения;
— сбои системного или прикладного ПО;
— нарушения доступа.
Сбои или другое аномальное поведение системы могут быть индикатором тайной атаки или существующей бреши в безопасности, и об этом надо сообщать как о событии ИБ.
Оповещение о недостатках ИБ
Меры и средства
Сотрудники и подрядчики, использующие ИС и сервисы организации обязаны сообщать о любых наблюдаемых или предполагаемых недостатках ИБ в системах или сервисах.
Рекомендации по реализации
Все сотрудники и представители сторонних организаций должны, как можно быстрее, сообщать о недостатках ИБ своему руководству или непосредственно поставщику услуг, чтобы предотвратить инциденты ИБ. Механизм сообщения должен быть, насколько возможно, простым, доступным и применимым.
Оценка событий и решения
Меры и средства
События ИБ должны быть оценены и по ним должно быть принято решение, если они классифицированы как инциденты ИБ.
Рекомендации по реализации
Контактное лицо должно оценить каждую информацию о событии ИБ, используя согласованную шкалу классификации событий и инцидентов ИБ, и решить, является ли событие инцидентом ИБ. Классификация и приоритетность инцидентов может помочь идентифицировать влияние и масштаб инцидента.
Если организация имеет свою группу реагирования на инциденты ИБ (далее — ГРИИБ), оценка и решения могут быть переданы в ГРИИБ для повторной оценки и утверждения результатов.
Результаты оценки и решения должны быть детально зафиксированы для дальнейшего изучения и анализа.
Реагирование на инциденты ИБ
Меры и средства
На инциденты ИБ надо реагировать в соответствии с документированными процедурами.
Рекомендации по реализации
На инциденты ИБ должны реагировать ответственный за это сотрудник и другие специалисты организации или сторонние специализированные группы.
Реагирование должно содержать следующее:
— сбор доказательств сразу после появления инцидента;
— проведение, при необходимости, правового анализа инцидента;
— эскалацию, при необходимости;
— уверенность, что все предпринятые действия правильно зафиксированы для дальнейшего анализа;
— передача информации об инциденте и его деталях всем заинтересованным сторонам (внутренним и внешним);
— выявление уязвимости ИБ, которая привела или способствовала инциденту;
— формальное завершение инцидента и фиксация всех данных сразу после успешного его решения.
Первой задачей реагирования на инцидент является возобновление нормального уровня безопасности, а затем инициация необходимого восстановления.
Извлечение уроков из инцидентов ИБ
Меры и средства
Знания, полученные в результате анализа и решения инцидентов ИБ, должны использоваться, чтобы уменьшить вероятность или воздействие будущих инцидентов.
Рекомендации по реализации
На месте должны быть механизмы, способные осуществить мониторинг и количественную оценку типа, уровня и значимости инцидентов ИБ. Информация, полученная в результате оценки инцидентов, должна быть использована для определения повторяющихся и серьезных инцидентов.
Оценка инцидентов ИБ может привести к необходимости задействования улучшенных или дополнительных мер защиты для ограничения частоты, ущерба и цены будущих событий или должна быть учтена при пересмотре политики ИБ.
С учетом аспектов конфиденциальности эпизоды актуальных инцидентов ИБ могут быть использованы для обучения персонала как примеры того, что могло случиться, как реагировать на эти инциденты и как избежать их в дальнейшем.
Сбор доказательств
Меры и средства
Организация должна
