Законодательная база Российской Федерации

"НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ. ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ. МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ. МЕНЕДЖМЕНТ ИНЦИДЕНТОВ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ. ГОСТ Р ИСО/МЭК ТО 18044-2007" (утв. Приказом Ростехрегулирования от 27.12.2007 N 513-ст)

Рекомендации по заполнению

Назначением данной формы (формы отчета о событиях и инцидентах ИБ) является обеспечение информацией о событии ИБ, а затем, если оно определено как инцидент ИБ, то и об инциденте ИБ, для определенных лиц.

Если подозревается, что событие ИБ развивается или уже свершилось, особенно событие, которое может привести к существенным потерям или ущербу собственности или репутации организации, то необходимо немедленно заполнить и передать форму отчета о событии ИБ в соответствии с процедурами, описанными в системе менеджмента инцидентов ИБ организации.

Представленная информация будет использована для инициирования соответствующего процесса оценки, которая определит, должно ли это событие категорироваться как инцидент ИБ и (в случае положительного ответа), какие корректирующие меры, необходимые для предотвращения или ограничения потерь или ущерба, следует предпринять. Поскольку процесс оценки по своему характеру является краткосрочным, то в данный момент необязательно заполнять все поля формы отчета.

Если сотрудник является членом группы обеспечения эксплуатации, анализирующим полностью/частично заполненные формы отчета, то он должен принять решение, надо ли отнести данное событие к категории инцидента ИБ. При положительном решении сотрудник должен внести в форму отчета об инциденте ИБ как можно больше информации и передать формы отчетов о событии и инциденте ИБ в ГРИИБ. Независимо от того, будет ли событие ИБ отнесено к категории инцидента ИБ, база данных событий/инцидентов ИБ должна быть обновлена.

Если сотрудник является сотрудником ГРИИБ, анализирующим формы отчетов о событиях и инцидентах ИБ, переданные членом группы обеспечения эксплуатации, то форма отчета об инциденте ИБ должна обновляться по ходу расследования и, соответственно, должна обновляться база данных событий/инцидентов ИБ.

При заполнении форм следует соблюдать следующие рекомендации:

- по возможности формы отчета должны заполняться и передаваться в электронном виде <*>. В случае, если существуют проблемы или считается, что существуют проблемы с принятыми по умолчанию механизмами электронного оповещения (например электронная почта), включая случаи, когда система может подвергаться атаке и формы отчета могут быть прочитаны несанкционированными лицами, должны использоваться альтернативные средства связи. Альтернативными средствами связи могут быть телефон или текстовые сообщения, а также использование курьеров;

- следует представить информацию, основанную на фактах, в которой сотрудник уверен, не следует что-либо придумывать для того, чтобы заполнить все формы. Если сотрудник считает уместным включить иную информацию, которую не может подтвердить, следует указать, что это неподтвержденная информация, и причину убежденности в ее недостоверности;

- следует подробно указать, как можно связаться с сотрудником. Немедленно или спустя некоторое время может возникнуть необходимость контакта с ним для получения дальнейшей информации, касающейся Вашего отчета.

Если позднее сотрудник обнаружит, что какая-либо представленная им информация неточна, неполна или ошибочна, то следует внести поправки в отчет и представить его повторно.

                               Отчет                              \r\n                о событии информационной безопасности\r\n   \r\n Дата события\r\nНомер события <*>:            Соответствующие идентификационные   \r\n                              номера событий и\r\n                              (или) инцидентов (если требуется):\r\n \r\n                   Информация о сообщающем лице\r\n \r\nФамилия _____________________ Адрес ______________________________\r\nОрганизация ______________________________________________________\r\nТелефон __________________ Электронная почта _____________________\r\n \r\n                       Описание события ИБ\r\nОписание события:\r\n \r\nЧто произошло\r\nКак произошло\r\nПочему произошло\r\nПораженные компоненты\r\nНегативное воздействие на бизнес\r\nЛюбые идентифицированные уязвимости\r\n \r\n                   Подробности о событии ИБ                       \r\n \r\nДата и время наступления события\r\nДата и время обнаружения события\r\nДата и время сообщения о событии\r\nЗакончилось ли событие? (отметить в квадрате)     Да [  ] Нет [  ]\r\nЕсли "да", то уточнить длительность\r\nсобытия в днях/часах/минутах\r\n \r\n_____________________________\r\n<*> Номера событий назначаются руководителем ГРИИБ организации.   \r\n \r\n \r\n \r\n                              Отчет                               \r\n               об инциденте информационной безопасности\r\n \r\nДата инцидента\r\nНомер инцидента <*>:         Соответствующие идентификационные\r\n                             номера событий и\r\n                             (или) инцидентов (если требуется):   \r\n \r\n     Информация о сотруднике группы обеспечения эксплуатации\r\n \r\nФамилия _________________________ Адрес __________________________\r\nТелефон __________________ Электронная почта _____________________\r\n \r\n                   Информация о сотруднике ГРИИБ\r\n \r\nФамилия _________________________ Адрес __________________________\r\nТелефон __________________ Электронная почта _____________________\r\n \r\n                         Описание инцидента ИБ                    \r\n \r\nДополнительное описание инцидента:\r\nЧто произошло\r\nКак произошло\r\nПочему произошло\r\nПораженные компоненты\r\nНегативное воздействие на бизнес\r\nЛюбые идентифицированные уязвимости\r\n \r\n                      Подробности об инциденте ИБ                 \r\n \r\nДата и время возникновения инцидента\r\nДата и время обнаружения инцидента\r\nДата и время сообщения об инциденте\r\nЗакончился ли инцидент? (отметить в квадрате)     Да [  ] Нет [  ]\r\nЕсли "Да", то уточнить длительность инцидента\r\nв днях/часах/минутах. Если "Нет", то уточнить,\r\nкак долго он уже длится\r\n \r\n_____________________________\r\n<*> Номера инцидентов назначаются руководителем ГРИИБ  организации\r\nи привязываются к номеру(ам) соответствующих событий.\r\n \r\n \r\n \r\n                             Отчет                                \r\n              об инциденте информационной безопасности\r\n \r\n                        Тип инцидента ИБ\r\n \r\n(Сделать отметку в  одном из квадратов, затем\r\nзаполнить ниже соответствующие поля)\r\n \r\n                 Действительный [ ] Попытка [ ] Предполагаемый [ ]\r\n(Один из)   Намеренная [ ]      (указать типы угрозы)\r\n \r\nХищение (TH) [ ]       Хакерство/логическое проникновение (HA) [ ]\r\nМошенничество (FR) [ ]      Неправильное использование ресурсов\r\n                                                          (MI) [ ]\r\nСаботаж/физический ущерб (SA) [ ]            Другой ущерб (OD) [ ]\r\nВредоносная программа (MC) [ ]\r\n \r\n                               Определить:\r\n \r\n(Один из)    Случайная [ ]      (указать типы угрозы)\r\nОтказ аппаратуры (HF)  [ ]       Другие природные события (NE) [ ]\r\nОтказ ПО (SF)          [ ]       Определить:\r\nОтказ системы связи (CF) [ ]     потеря значимых сервисов (LE) [ ]\r\nПожар (HE)             [ ]      недостаточное кадровое обеспечение\r\n                                                          (SS) [ ]\r\nНаводнение (FL)        [ ]       Другие случаи (OA)            [ ]\r\n \r\n                              Определить:\r\n \r\n(Один из)     Ошибка   [ ]      (указать типы угрозы)\r\nОперационная ошибка (OE) [ ]          Ошибка пользователя (UE) [ ]\r\nОшибка в эксплуатации аппаратных    Ошибка проектирования (DE) [ ]\r\nсредств (HE) [ ]\r\n \r\nОшибка в эксплуатации ПО (SE) [ ]           Другие случаи (включая\r\n                                     ненамеренные ошибки) (OA) [ ]\r\n \r\n                              Определить:\r\n \r\nНеизвестно [ ]            (Если еще не установлен тип инцидента ИБ\r\n                       (намеренный, случайный, ошибка), то следует\r\n                     сделать отметку в квадрате "неизвестно" и, по\r\n            возможности, указать тип угрозы, используя сокращения,\r\n                                                 приведенные выше)\r\n                            Определить:\r\n \r\n \r\n \r\n                                 Отчет                            \r\n                об инциденте информационной безопасности\r\n \r\n                          Пораженные активы\r\nПораженные активы   (Дать описания активов, пораженных инцидентами\r\n(при наличии)                     ИБ или связанных с ним,\r\n                           включая (где требуются), серийные,\r\n                           лицензионные номера и номера версий)\r\n \r\nИнформация/данные ________________________________________________\r\nАппаратные средства ______________________________________________\r\nПрограммное обеспечение __________________________________________\r\nСредства связи ___________________________________________________\r\nДокументация _____________________________________________________\r\n \r\n         Негативное воздействие/влияние инцидента на бизнес\r\n \r\nСделать отметку в соответствующих  квадратах  для  указанных  ниже\r\nнарушений,  затем   в   колонке   "значимость"   указать   степень\r\nнегативного  воздействия   на   бизнес по шкале 1 + 10,  используя\r\nследующие  сокращения   (указатели категорий):   (FD) - финансовые\r\nубытки/разрушение   бизнес-операций,   (CE) - коммерческие   и\r\nэкономические интересы, (PI) - информация, содержащая персональные\r\nданные,   (LR) - правовые   и   нормативные   обязательства   (это\r\nнеобходимо сравнить с английским оригиналом),  (МО) - менеджмент и\r\nбизнес-операции,   (LG) - потеря   престижа    (см.   примеры   в\r\nприложении B). Записать  кодовые  буквы  в  колонке "указатели", а\r\nесли   известны   действительные  издержки, - указать их в колонке\r\n"стоимость".\r\n \r\n                   Значимость       Указатели       Издержки      \r\nНарушение\r\nконфиденциальности\r\n(то есть\r\nнесанкционированное\r\nраскрытие)     [ ]\r\nНарушение\r\nцелостности\r\n(то есть\r\nнесанкционированная\r\nмодификация)   [ ]\r\nНарушение\r\nдоступности\r\n(то есть\r\nнедоступность) [ ]\r\nНарушение\r\nнеотказуемости [ ]\r\nУничтожение    [ ]\r\n \r\n         Общие расходы на восстановление после инцидента ИБ       \r\n \r\n                   Значимость       Указатели       Издержки\r\n(Там, где\r\nвозможно,\r\nнеобходимо\r\nуказать общие\r\nрасходы на\r\nвосстановление\r\nпосле инцидента\r\nИБ в целом\r\nпо шкале 1 + 10\r\nдля "значимости" и в\r\nденьгах для\r\n"стоимости")\r\n \r\n \r\n \r\n                               Отчет                              \r\n                об инциденте информационной безопасности\r\n \r\n                       Разрешение инцидента                       \r\n \r\nДата начала расследования инцидента ИБ  __________________________\r\nФамилия (ии) лица (лиц), проводившего (их) расследование\r\nинцидента               __________________________________________\r\nДата завершения инцидента ИБ _____________________________________\r\nДата окончания воздействия _______________________________________\r\nДата завершения расследования инцидента ИБ _______________________\r\nМесто хранения отчета о расследовании ____________________________\r\n \r\n            Причастные к инциденту лица/нарушители                \r\n \r\n(Один из)    Лицо (PE)     [ ]   Легально учрежденная организация/\r\n                                               учреждение (OI) [ ]\r\nОрганизованная группа (GR) [ ]                Случайность (AC) [ ]\r\n                                        Отсутствие нарушителя (NP)\r\n                                      Например, природные факторы,\r\n                                               отказ оборудования,\r\n                                           человеческий фактор [ ]\r\n \r\n                       Описание нарушителя                        \r\n \r\n           Действительная или предполагаемая мотивация\r\n \r\n(Один из) Криминальная/финансовая   Развлечение/хакерство (PH) [ ]\r\n               выгода(CG) [ ]\r\n \r\nПолитика/терроризм (PT)   [ ]                       Месть (RE) [ ]\r\n                                              Другие мотивы (OM)\r\n                                      Определить:\r\n \r\n        Действия, используемые для разрешения инцидента ИБ        \r\n \r\n(например, "никаких действий", "подручными\r\nсредствами", "внутреннее расследование\r\n", "внешнее расследование с привлечением…\r\n")\r\n \r\n        Действия, запланированные для разрешения инцидента        \r\n \r\n(включая возможные приведенные выше\r\nдействия)\r\n \r\n                            Прочие действия                       \r\n \r\n(например, по-прежнему требуется проведение\r\nрасследования, но другим персоналом)\r\n \r\n \r\n \r\n                                 Отчет                            \r\n                           об инциденте ИБ\r\n \r\n                               Заключение\r\n(Сделать отметку в одном из    Значительный [ ] Незначительный [ ]\r\nквадратов, является ли\r\n инцидент значительным или\r\nнет, и приложить краткое\r\nизложение обоснования этого\r\nзаключения)\r\n \r\n(Указать любые другие заключения) ________________________________\r\n \r\n                       Оповещенные лица/субъекты                  \r\n \r\n(Эта часть       Руководитель службы ИБ [ ] Руководитель ГРИИБ [ ]\r\nотчета заполняется\r\nсоответствующим лицом, Местный руководитель          Руководитель \r\nна которое возложены      (уточнить, какого        информационных \r\nобязанности в            подразделения) [ ]             систем [ ]\r\nобласти ИБ и\r\nкоторое формулирует        Автор отчета [ ]          Руководитель \r\nтребуемые                                        автора отчета [ ]\r\nдействия. Обычно этим\r\nлицом является                  Полиция [ ]        Другие лица [ ]\r\nруководитель ИБ организации)\r\n                               (например, справочная служба, отдел\r\n                           кадров, руководство, служба внутреннего\r\n                       аудита, регулятивный орган, сторонняя КСБР)\r\n \r\n                                          Определить: \r\n \r\n                         Привлеченные лица                        \r\n \r\n          Инициатор              Аналитик              Аналитик\r\nПодпись ______________ Подпись _____________ Подпись _____________\r\nФамилия ______________ Фамилия _____________ Фамилия _____________\r\nДолжность ____________ Должность ___________ Должность ___________\r\nДата __________________ Дата __________________ Дата _____________\r\n \r\n          Аналитик               Аналитик              Аналитик\r\nПодпись ______________ Подпись _____________ Подпись _____________\r\nФамилия ______________ Фамилия _____________ Фамилия _____________\r\nДолжность ____________ Должность ___________ Должность ___________\r\nДата __________________ Дата __________________ Дата _____________\r\n \r\n \r\n 

Приложение В
(справочное)