Группа мониторинга отвечает в реальном времени за контроль и фактическую операционную деятельность, как например, мониторинг / обнаружение / идентификация событий ИБ, регистрация инцидента и его предотвращение;
Группа реагирования принимает отчет группы контроля о возникновении инцидента, выполняет повторный анализ и действия по расследованию и восстановлению, а также разрабатывает адекватную стратегию;
Группа анализа в сотрудничестве с группой реагирования выполняет углубленный анализ, в том числе сравнительный анализ инцидентов.
Руководитель ГРИИБ обязан:
— немедленно принимать меры для решения инцидента на основании заранее делегированных полномочий;
— иметь отдельную линию для связи с руководством, изолированную от обычных бизнес-коммуникаций;
— обеспечить высокий уровень знаний и мастерства всех членов ГРИИБ, а также постоянную поддержку этого уровня;
— поручать расследование каждого инцидента наиболее компетентному члену ГРИИБ.
Уровень полномочий руководителя ГРИИБ и членов его группы должен позволять предпринимать необходимые действия для решения инцидента ИБ. Однако действия, которые могут оказать неблагоприятное влияние на всю организацию в отношении финансов или репутации, должны согласовываться с высшим руководством. Поэтому важно уточнить, кого в схеме обеспечения политики управления инцидентами ИБ руководитель ГРИИБ оповещает о серьезных инцидентах ИБ.
Взаимодействие с заинтересованными сторонами
Процедуры общения со СМИ и ответственность за это общение также должны быть согласованы с высшим руководством и задокументированы. Эти процедуры должны определить представителя организации по работе со СМИ и его взаимодействие с ГРИИБ.
Организация должна установить взаимодействие ГРИИБ с внешними организациями (заинтересованными сторонами), в число которых входят следующие:
— контрактный персонал внешней поддержки,
— национальная ГРИИБ,
— сервис-провайдеры, в том числе поставщики телекоммуникационных и интернет-услуг,
— службы охраны правопорядка,
— аварийные службы,
— соответствующие правительственные органы,
— юридические службы,
— официальные лица по связям с общественностью и/или представители СМИ,
— бизнес-партнеры,
— потребители,
— общественность.
1.5. Техническая и другая поддержка
Быстрое и эффективное реагирование на инциденты ИБ осуществляется гораздо легче, когда все необходимые технические и другие средства поддержки получены, подготовлены и протестированы.
Мероприятия поддержки включают в себя:
— доступ к деталям активов, которые своевременно обновляются, и их связям с бизнес-функциями;
— доступ к задокументированным процедурам кризисного управления;
— документированные и опубликованные процессы коммуникаций;
— использование базы данных уязвимостей / событий / инцидентов ИБ и технических средств для быстрого пополнения и обновления базы данных, анализа ее информации и упрощения процессов реагирования (иногда сделанные вручную записи также оказываются востребованными и используются организацией);
— использование стандартного формата и протокола обмена для получения и обработки тревоги или информации об уязвимостях / событиях / инцидентах с целью оперативного обеспечения осведомленности персонала и возможности повторного использования;
— средства сбора и анализа правовых доказательств;
— адекватные соглашения кризисного управления для базы данных уязвимостей / событий / инцидентов ИБ.
Технические средства, используемые для быстрого пополнения, обновления баз данных, анализа информации и баз данных и облегчения процессов реагирования на инциденты ИБ, должны поддерживать:
— быстрое получение отчетов о уязвимости / инциденте / событии ИБ;
— уведомление предварительно отобранного внешнего персонала соответствующими средствами (например электронная почта, факс или телефон), то есть запрашивая поддержку надежной доступной базы данных (включая бумажные и другие резервные копии) и средство передачи информации безопасным способом (при необходимости);
— соблюдение мер предосторожности, соответствующих оцененным рискам, для гарантирования, что линия коммуникации или интернет не прослушиваеться и остается доступной во время атаки на систему, сервис и/или сеть (возможно, потребуется предварительное планирование механизмов альтернативной связи);