24 Проверка эффективности обработки инц-ов иб

Процесс проверки эффективности обработки инц-ов ИБ:

Вх. данные:отчет о произошедших инцидентах; описание принятых в организации защитных мер; процедуры обработки инцидентов.

Упр.инф.: решения руководства по менеджменту инцидентов ИБ; стандарты (международные, национальные), касающиеся менеджмента инцидентов ИБ; политика обработки инцидентов ИБ.

Ресурсы:материальные и финансовые ресурсы; сотрудники, выполняющие роли по обработке инцидентов ИБ.

Вых.инф.: объективная оценка обработки инцидентов; субъективная оценка обработки инцидентов; заключения по результатам аудита обработки инцидентов ИБ.

Процесс:анализ результатов обработки инцидентов ИБ; аудит обработки инцидентов ИБ.

После инц-та ИБ необходимо провести анализ произошедшего инц-та ИБ и результаты его обработки со всеми вовлеченными сторонами для улучшения мер по обеспечению ИБ и самого процесса обработки инц-ов.

Для получения объективной оценки по обработке каждого инц-та ИБ должна быть проанализирована реакция на обработанный инцидент, чтобы определить, насколько была эффективна эта реакция. Для объективной оценки инц-та ИБ необходимо произвести следующие действия:

• анализ записей мониторинга, отчетов и другой документации по инциденту с т.з. соблюдения установленных политик и процедур обработки инц-та;

• анализ зарегистрированных предвестников и указателей инц-та с т.з. эффективности обнаружения инц-та;

• определение того, нанес ли инцидент ущерб до того, как он был обнаружен;

• определение того, правильно ли была идентифицирована причина инц-та;

• определение того, какие ЗМ могли бы предотвратить инцидент;

• вычисление ущерба от инц-та в денежном выражении.

Для получения субъективной оценки обработки каждого инц-та ИБ члены команды реагирования могут быть опрошены с целью самооценки своей работы, оценки работы других членов команды и всей команды в целом. Владельцы активов, которые были атакованы, должны определить, эффективно ли был обработан инцидент.

Кроме того, используя собранные и обработанные данные об инц-тах ИБ и отчеты об инц-тах ИБ для измерения эффективности обработки инц-ов ИБ в организации должны проводиться периодические аудит обработки инц-ов ИБ. Аудиты позволят определить проблемы и недостатки, которые затем будут скорректированы.

25 Совершенствование обработки инцидентов иб

Процесс совершенствования обработки инцидентов ИБ:

Вх. данные: отчеты о произошедших инцидентах; список защитных мер; процедуры обработки инцидентов.

Упр.инф.: решения руководства по менеджменту инцидентов ИБ; стандарты (международные, национальные), касающиеся менеджмента инцидентов ИБ.

Ресурсы: материальные и финансовые ресурсы; сотрудники, выполняющие роли по обработке инцидентов ИБ.

Вых.инф.: скорректированные существующие, либо дополнительные защитные меры; скорректированные существующие, либо дополнительные нормативные документы; программа обучения персонала.

Процесс: обучение (подготовка и переподготовка) и осведомление сотрудников на примере произошедших инцидентов ИБ; корректировка существующих защитных мер и введение в действие дополнительных защитных мер, препятствующих инцидентам ИБ; корректировка процедур обработки инцидентов ИБ; корректировка нормативных документов и политик, разработка новых нормативных документов.

Одним из важных итогов обработки инцидентов является обучение и, если необходимо, подготовка и переподготовка персонала команды реагирования. Обучение способствует развитию навыков команды реагирования по отражению новых угроз, улучшению технологий, систем. Кроме того, о каждом значительном инциденте ИБ должны быть осведомлены сотрудники организации.

Оценка произошедшего инцидента может указать на недостаточность существующих защитных мер, на необходимость их корректировки, чтобы противодействовать подобным инцидентам ИБ, или на необходимость введения в действие дополнительных защитных мер, препятствующих инцидентам ИБ.

Оценка произошедшего инцидента может указать и на необходимость корректировки процедур обработки инцидентов ИБ, если они оказались недостаточно эффективны для обработки инцидентов ИБ.

Введение в действие дополнительных защитных мер, изменение процедур обработки инцидентов ИБ, как правило, приводит к корректировке нормативных документов и политик и/или к разработке новых нормативных документов.

26.Обработка инцидентов с неавторизованным доступом. Определение инцидента с неавторизованным доступом. Примеры инцидентов с неавторизованным доступом. Подготовка к обработке инцидента с неавторизованным доступом

Инцидент с неавторизованным доступом происходит, когда пользователь получает доступ к информационным активам, к которым он не должен иметь доступ. Неавторизованный доступ обычно реализуется через использование уязвимостей операционной системы или приложений, использование имен пользователей и паролей или их подбор. Примеры инцидентов с неавторизованным доступом:

• дистанционная компрометация почтового сервера;

• дискредитация Web-сервера;

• угадывание и взлом паролей;

• копирование базы данных, содержащей номера кредитных карт;

• просмотр конфиденциальных данных, например, записи платежных ведомостей и медицинской информации, без авторизации;

• запуск анализаторов на рабочей станции с целью захвата имен пользователей и паролей;

• соединение с незащищенным модемом и получение доступа к внутренней сети;

При планировании обработки инцидентов, связанных с неавторизованным доступом, выполняются следующие мероприятия:

• подготовка к обработке инцидентов с неавторизованным доступом;

• выбор и реализация защитных мер, препятствующих инцидентам с неавторизованным доступом;

• формирование приоритетного порядка обработки инцидентов с неавторизованным доступом.

В дополнение к общему руководству при подготовке к обработке инцидентов с неавторизованным доступом должны быть выполнены следующие действия:

• установка сетевых и узловых СОВ для идентификации и оповещения о попытках неавторизованного доступа;

• применение централизованных серверов (архивов) журналов мониторинга ИБ с целью хранения записей мониторинга в одном безопасном месте;