7.6: Управление инцидентами защиты информации

Подробное описание

Управление инцидентами ЗИ включает комплекс процедур обнаружения, классификации, реагирования и восстановления после инцидентов информационной безопасности. В соответствии с требованиями ЦБ РФ 382-П и 683-П, организации обязаны обеспечить непрерывный мониторинг событий ИБ, своевременное выявление компрометации и эффективное реагирование на инциденты. Процесс включает регистрацию инцидентов, оценку их влияния на критичные бизнес-процессы, координацию действий подразделений, взаимодействие с ФинЦЕРТ Банка России и документирование всех этапов расследования. Особое внимание уделяется инцидентам с персональными данными клиентов и случаям несанкционированного доступа к платёжным системам.

Практические шаги внедрения

1. 1

   Разработать и утвердить политику управления инцидентами ЗИ с определением классификации инцидентов (критичность, категории), ролей и ответственности, SLA на обработку и эскалацию

2. 2

   Создать CSIRT/SOC с круглосуточным дежурством, оснастить SIEM-системой для корреляции событий, интегрировать с СКЗИ, СОВ, межсетевыми экранами и системами мониторинга

3. 3

   Внедрить процесс обязательного информирования ФинЦЕРТ Банка России о значимых инцидентах в течение 24 часов через личный кабинет участника финансового рынка

4. 4

   Разработать плейбуки реагирования для типовых сценариев: вредоносное ПО, DDoS-атаки, утечки данных, компрометация учётных записей, фишинг, атаки на АБС и ДБО

5. 5

   Организовать систему регистрации и учёта инцидентов с журналированием всех действий, временных меток, причин, последствий и принятых мер в защищённой БД

6. 6

   Проводить регулярные учения по реагированию на инциденты (desktop, live drills) с участием ИТ, ИБ, бизнес-подразделений и топ-менеджмента не реже 2 раз в год

7. 7

   Внедрить процедуры криминалистического анализа (digital forensics) с сохранением цепочки доказательств для передачи в правоохранительные органы при необходимости

Типичные нарушения

• Отсутствие обязательного уведомления ФинЦЕРТ о значимых инцидентах или несоблюдение 24-часового срока информирования Банка России

• Неполная регистрация инцидентов: отсутствие хронологии событий, журналов действий по расследованию, анализа первопричин (root cause) и документирования последствий

• Отсутствие утверждённых плейбуков реагирования на типовые инциденты или невыполнение процедур изоляции скомпрометированных систем, что приводит к распространению атаки

• Неэффективная координация между ИБ, ИТ и бизнес-подразделениями при крупных инцидентах из-за отсутствия кризисного штаба и регламента эскалации до правления

• Отсутствие регулярных учений и тестирования планов реагирования, что приводит к хаотичным действиям и увеличению времени восстановления при реальных инцидентах

Почему это важно

Проверяемые категории

Связанные контроли