Разработка и реализация процесса управления инцидентами иб в со­ответствии с лучшими практиками обеспечивает следующее

Специальные нормативные требования - об инцидентах ИБ следует информировать соответствующий контрольный орган, если это уста­новлено специальными и нормативными требованиями, например, как это предусмотрено в атомной промышленности.
Судебные преследования или внутренние дисциплинарные разбира­тельства - для успешного проведения судебного преследования или дисциплинарных разбирательств в отношении злоумышленников, неза­висимо от того, были ли их атаки техническими или физическими, не­обходимо использовать соответствующие свидетельства, включая дока­зуемо защищенные от внесения изменений журналы регистрации. Для этого необходимо собрать свидетельства для федеральных судов или других административных органов. Необходимо показать следующее: документация является полной и не подвергалась искажениям; копии электронного свидетельства доказуемо идентичны оригиналам; все сис­темы ИТ, от которых получены свидетельства, во время регистрации работали в штатном режиме.
Правовые аспекты, связанные с методами мониторинга - правила применения методов мониторинга должны быть рассмотрены в контек­сте национального законодательства, поскольку они различны в разных странах. Например, в некоторых странах необходимо информировать людей о ведении мониторинга, в том числе методами наблюдения. Не­обходимо установить несколько факторов, определяющих, кто/что под­вергается мониторингу, каким образом они/оно подвергаются монито­рингу и когда проводится мониторинг.
Разработка правил пользования информационными ресурсами и оз­накомление с ними - порядок использования ИС и информационных ре­сурсов в организации должен быть определен, документирован и дове­ден до сведения всех предполагаемых пользователей (например, персо­нал необходимо проинформировать о политике допустимого использования и потребовать письменного подтверждения понимания и принятия ими этой политики при устройстве на работу в организацию или получении доступа к ИС).
Любая организация, использующая системный подход к управлению инцидентами ИБ, построив и внедрив СУИИБ, в целом повышает ус­тойчивость ее бизнес-процессов и извлекает из этого значительные пре­имущества, которые можно объединить в следующие группы [3-5]:
Улучшение ОИБ - системный процесс обнаружения, оповещения, оценки и управления инцидентами ИБ позволяет быстро идентифици­ровать любое событие или инцидент ИБ и реагировать на них, тем са­мым улучшая общую безопасность за счет быстрого определения и реа­лизации обоснованного и правильного решения по ОИБ на основе имеющейся истории инцидентов ИБ, а также предоставляя средства предотвращения подобных инцидентов ИБ в будущем.
Уменьшение последствий негативных воздействий инцидентов ИБ на бизнес (например, прерывание бизнеса и финансовые потери как по­следствия инцидентов ИБ, которые могут включать в себя немедленные финансовые убытки, а также долговременные потери, возникающие от ущерба, нанесенного репутации и кредитоспособности организации) за счет адекватного и оперативного их обнаружения и реагирования.
Усиление внимания к вопросам предотвращения инцидентов ИБ внутри организации - анализ данных, связанных с инцидентами ИБ, по­зволяет определить модели и тенденции появления инцидентов ИБ, тем самым способствуя усилению внимания к предотвращению инцидентов и, следовательно, идентификации соответствующих действий по пре­дотвращению их возникновения.
Усиление внимания к установлению системы приоритетов и свиде­тельств - при отсутствии четких процедур существует риск того, что деятельность по расследованию будет проводиться не постоянно - реа­гирование на инциденты ИБ будет осуществляться по мере их появле­ния или как реакция на соответствующее распоряжение руководителя. Это может помешать проведению расследования таким образом, чтобы оно соответствовало идеальной расстановке приоритетов там, где они действительно необходимы. Четкие процедуры расследования инциден­тов ИБ могут обеспечить правильность сбора данных и их обработки, что особо важно в случае инициирования судебного преследования или дисциплинарного разбирательства. Однако следует учесть вероятность того, что необходимые для восстановления после инцидента ИБ дейст­вия могут подвергнуть риску целостность собранных свидетельств.