Государственный стандарт республики узбекистан информационная технология методы обеспечения безопасности

6.2 Согласованная разработка плана управления инцидентами
информационной безопасности

Настоящий стандарт рекомендует разработку политики управления инцидентами ИБ. Однако в тех случаях, когда отсутствует руководящая политика, стандарт или другой нормативный документ, процесс планирования управления инцидентами должен основываться на согласованном мнении всех сторон для обеспечения эффективной работы, связи и отношений с внешними организациями.

Термины и определения должны быть унифицированы между членами ГРИИБ и организациями-партнерами. Сюда входят наименования и идентификаторы организаций и групп, информационные активы, бизнес-процессы и т.д. Если терминология является трудной или подверженной неправильной интерпретации, план управления инцидентами должен включать стандартные термины и определения в глоссарии.
Роли и отношения с внешними ГРИИБ и другими организациями по реагированию на инциденты, а также структура и границы деятельности при реагировании должны быть определены владельцем процесса управления инцидентами. Ответственность вовлеченных сторон может совпадать и должна быть скорректирована на основе согласованного мнения в процессе планирования управления инцидентами. При совпадении границ принятия решений по инциденту, в плане должна быть указана конкретная ответственная сторона.
Вовлеченные стороны и внешние ГРИИБ часто имеют несопоставимые количественные показатели. Участники планирования должны оценивать имеющиеся количественные показатели, предоставляемые им соответствующими сторонами или внешними организациями и, либо соглашаться на основе согласованного мнения относительно определенного набора существующих количественных показателей, либо соглашаться связать несопоставимые показатели, используя метод обратного сопоставления. Независимо от подхода, план должен выбирать или связывать количественные показатели, чтобы их области действия были идентичны и выбирать или связывать качественные показатели с фиксированным равенством.


6.3 Вовлеченные стороны

Организация должна обеспечить, чтобы план управления инцидентами ИБ был доведен до сведения всего ее персонала и взаимодействующих с ней подрядчиков, провайдеров ИТ-услуг, провайдеров услуг телекоммуникаций и аутсорсинговых компаний, включая следующее:

а) выявление и отчетность о событиях ИБ (это ответственность любого штатного (постоянного) или внештатного (привлекаемого на основании договора) персонала организации и ее филиалов);
b) оценка и реагирование на события и инциденты ИБ, участие в мероприятиях (после разрешения инцидента) по изучению полученного опыта и улучшению ИБ и самого плана управления инцидентами ИБ (это ответственность координаторов, ГРИИБ, управленческого персонала, персонала по связям с общественностью и законных представителей);
c) отчетность по уязвимостям ИБ (это ответственность любого постоянного или привлекаемого на основании договора персонала в организации и ее филиалах) и их обработке.
В плане также должны учитываться любые сторонние организации, а также инциденты ИБ и связанные с ними уязвимости, сообщенные сторонними организациями, а также государственными и негосударственными организациями, предоставляющими информацию по инцидентам и уязвимостям ИБ.
Если ожидается, что вовлеченные стороны будут активно участвовать в обработке инцидентов ИБ, тогда должно быть проведено четкое разделение ролей и обязанностей, о чем каждая сторона должна быть проинформирована. Разделение ролей должно сопровождаться согласованным протоколом передачи информации об инциденте для обеспечения обмена информацией соответствующим образом. Если это необходимо и возможно, для ускорения процесса необходимо автоматизировать процесс передачи инцидента и обмена информацией о нем. Такое развитие событий может возникнуть, если некоторые из возможностей организации или ГРИИБ передаются на аутсорс сторонним организациям. Примерами таких случаев являются случаи, когда организация использует облачную систему, обслуживаемую сторонней организацией, или когда сторонняя организация проводит экспертизу цифровых доказательств для данной организации, а также когда данная организация взаимодействует с поставщиком услуг при обработке инцидентов.