Разработка и реализация процесса управления инцидентами иб в со­ответствии с лучшими практиками обеспечивает следующее

Руководство - главный менеджер, возглавляющий ГРИИБ и несу­щий ответственность за всю ее деятельность. Обычно он проводит ана­лиз всех предпринимаемых группой мер, в результате которого в поли­тики и процедуры реагирования на происшествия могут вноситься из­менения.
Координатор - в случае происшествия один из специалистов назна­чается координатором и занимается организацией защитных мер. Он ответственен за устранение последствий конкретного происшествия или набора связанных друг с другом происшествий. Процесс передачи ин­формации о происшествии осуществляется через координатора, а при контактах с внешними структурами он выступает от имени всей группы. Личность координатора зависит от характера происшествия; часто ко­ординатор и руководитель ГРИИБ - это разные лица.
Персонал’, офис-менеджер, бухгалтер, консультант по коммуникаци­ям (переводит сложные технические вопросы в более понятные для за­интересованных сторон сообщения и обеспечивает обратную связь от клиентов к техническим экспертам), консультант-юрист (полезен осо­бенно в начальной фазе деятельности ГРИИБ).
Оперативная техническая группа: руководитель технической груп­пы, техники ГРИИБ, выполняющие различные функции, аналитики- исследователи.
Внешние консультанты - при необходимости.
Руководитель ГРИИБ должен [3-5]:

• 
  иметь делегированные полномочия немедленного принятия решений по мерам, которые необходимо предпринять в случае инцидента ИБ;
  
• 
  как правило, иметь отдельную линию для оповещения высшего ру­ководства, которая должна быть изолирована от обычных бизнес- операций;
  
• 
  обеспечивать необходимый уровень знаний и профессионализма для всех членов ГРИИБ, а также его поддерживать;
  
• 
  поручать расследование каждого инцидента ИБ наиболее компе­тентному члену группы.
  

ГРИИБ может представлять собой изолированную (независимую) группу или отдел со своим руководителем и персоналом. Для неболь­ших организаций такая ГРИИБ может быть централизованной для орга­низации в целом. Для крупных компаний изолированная ГРИИБ может также быть и децентрализованной - распределенной по различным тер­риториальным площадкам такой организации [7].
Если ГРИИБ основана в рамках существующей организации, ис­пользующей свой ИТ-отдел, может быть применена встроенная модель. Эта модель хорошо адаптируется под конкретные ситуации по мере их возникновения. Тогда руководитель ГРИИБ собирает необходимых техников на время устранения инцидентов ИБ или для работы над зада­чами, стоящими перед группой. Персонал ГРИИБ может выполнять и другие обязанности внутри организации, а также привлекать сотрудни­ков из других подразделений, например, в зависимости от типа инци­дента ИБ, специалистов по конкретным вопросам - по отражению атак вредоносными программами и т. п. В зависимости от численного соста­ва организации сотрудники ГРИИБ могут также выполнять несколько функций внутри ГРИИБ. К работе в ГРИИБ могут привлекаться и слу­жащие из различных подразделений организации (например, бизнес- операций, ИТ/телекоммуникаций, аудита, отдела кадров и маркетинга, юристы, эксперты по коммуникациям). Привлеченные участники реаги­руют на происшествия собственными силами или выступают посредни­ками, через которых соответствующие полномочия передаются более компетентным специалистам их отделов.
Таким образом, членами ГРИИБ могут быть сотрудники организа­ции, работающие в режиме полной занятости, а также частично или полностью привлекаемые из других компаний [7].
Примерное распределение обязанностей членов ГРИИБ представле­но табл. 2.1. (О - ответственный, Р - реализация, К - консультирование, Д - доработка.)