Алексей ХалинРекомендации по работе с карточкой инцидента ИБ
Алексей ХалинАлексей ХалинОбщий порядок действий при обнаружении инцидента ИБ выглядит следующим образом.
Рисунок 1. Порядок действий при обнаружении инцидента ИБ
При обнаружении инцидента ИБ необходимо зарегистрировать его, создав карточку инцидента с первоначальной информацией об инциденте в соответствии со стандартами, принятыми в вашей организации. По мере реагирования и расследования инцидента карточка дополняется новой информацией.
Полностью заполненная карточка инцидента ИБ может выглядеть следующим образом:
После регистрации инцидента необходимо внести в карточку информацию, которой вы располагаете на текущий момент. Такой информацией может быть:
После заполнения указанных полей необходимо провести анализ имеющейся в карточке информации. На основании проведенного анализа необходимо присвоить инциденту уровень опасности и выбрать подходящий плейбук реагирования.
Помимо общей информации об инциденте, в карточку должна быть внесена информация, получаемая в процессе реагирования и расследования. К такой информации относятся:
После того как реагирование на инцидент будет закончено, необходимо провести расследование причин возникновения инцидента. По результатам такого расследования должны быть выработаны меры повышения защищенности, исключающие появление аналогичных инцидентов в будущем. Такие меры включаются в карточку инцидента. После этого карточка инцидента закрывается, а информация из нее может быть использована для последующего анализа и расследования аналогичных инцидентов или для усиления системы защиты информации.