Разработка и реализация процесса управления инцидентами иб в со­ответствии с лучшими практиками обеспечивает следующее

инцидента Д Анализ


I ^инцидентов И Б1


Оповещение об
уязвимостях, событиях
ИБ и инцидентах ИБ


если событие признается инцидентом ИБ


' Обработка и анализ сообщений о событиях и , уязвимостях


'Реагирование'
на инциденты


если требуется расследование
инцидента S'


Оценка
эффективности
процесса
управления
инцидентами ИБ


Расследование


’^инцидентов ИБ


если не требуется ни анализ, ни


расследование Г


если событие является событием ИБ


инцидента


Отчеты по > инцидентам


ЧДругие процессы управления ИБ

анализ эффективности процесса управления инцидентами ИБ.

Журнал
■> событий ИБ
Рис. 2.4. Диаграмма процесса «Управление инцидентами ИБ»
Организации важно заранее определить приоритеты действий, со­вершаемых во время инцидента ИБ. Бывают столь сложные случаи, ко­гда невозможно одновременно принять все необходимые ответные ме­ры и без учета приоритетов для конкретной организации не обойтись. Следующий список приоритетов может послужить отправной точкой при выработке комплекса ответных мер:

1. 
   защитить жизнь и здоровье людей; при всех обстоятельствах за­щита человеческих жизней должна стоять на первом месте;
   

2. 
   защитить критически важные данные (в соответствии с законода­тельными нормами и требованиями организации);
   
3. 
   защитить прочие данные, включая управленческую и другую ин­формацию, поскольку потеря данных дорога с точки зрения ресурсов, затраченных на их накопление;
   
4. 
   предотвратить повреждение систем, сервисов и сетей (потерю и изменение системных файлов, повреждение дисководов и т. п.), чтобы избежать дорогостоящих простоев и восстановлений;
   
5. 
   минимизировать ущерб, нанесенный вычислительным ресурсам; во многих случаях лучше выключить систему или отсоединить ее от се­ти, чем подвергать риску информацию, ПО или АО.
   

Важным следствием определения приоритетов является то, что по­сле человеческих жизней и интересов государственной безопасности наиболее ценным активом обычно являются данные, а не ПО или АО. Хотя, конечно, для любых организаций нежелательны любые потери. Системы можно заменить, в то же время потерю или компрометацию данных, как правило, нельзя допускать ни при каких обстоятельствах.

2. 
   Система управления инцидентами ИБ