Разработка и реализация процесса управления инцидентами иб в со­ответствии с лучшими практиками обеспечивает следующее

Осведомленность - вряд ли пользователи будут эффективно уча­ствовать в работе организации, если они не будут осведомлены о том, какую выгоду они и их подразделение получат от участия в системном подходе к управлению инцидентами ИБ. Любая СУИИБ должна функ­ционировать в соответствии с документом, в котором определена про­грамма обеспечения осведомленности, в которой отражены такие важ­ные вопросы, как преимущества, получаемые от применения системно­го подхода к управлению инцидентов ИБ как для организации, так и для ее персонала; информация об инцидентах ИБ, хранимая в базе данных (БД) событий/инцидентов ИБ (БДСИИБ) и получаемая при обработке ее данных; стратегия и механизмы реализации программы, которая в зави­симости от организации может быть как отдельной программой, так и частью более общей программы обеспечения осведомленности в вопро­сах ИБ.

Эффективность и качество функционирования СУИИБ, что зави­сит от ряда факторов, включающих в себя обязательность уведомления об инцидентах ИБ, качество уведомления, простоту использования, бы­стродействие (время, используемое на сообщение об инциденте ИБ + время, необходимое для обработки данных и распространения обрабо­танной информации, особенно в случае с сигналами аварийности) и обучение. Некоторые из этих факторов связаны с обеспечением осве­домленности пользователей о важности управления инцидентами ИБ и их мотивированностью сообщать об инцидентах ИБ. Для минимиза­ции задержек в соответствующие программы обеспечения осведомлен­ности и обучения пользователей должны включаться положения, уста­навливающие поддержку по «горячей линии», осуществляемую персо­налом, управляющим инцидентами ИБ.

Типизация - общая типизация, отражающая системный подход к управлению инцидентами ИБ, является одним из ключевых факторов обеспечения последовательного получения надежных результатов. Ти­пизация, наряду с общепринятыми метриками и стандартной структу­рой БД, обеспечивает возможность сравнивать результаты, улучшать предупреждающую информацию и получать более точное представле­ние об угрозах ИБ для ИС и их уязвимостях.

Анонимность как один из основополагающих факторов успеха управления инцидентами ИБ. Пользователи должны быть уверены, что сообщаемая ими информация об инцидентах ИБ полностью защищена, а при необходимости обезличена с тем, чтобы ее невозможно было свя­зать с их организацией или ее подразделением без их полного согласия. СУИИБ должна учитывать ситуации, когда важно обеспечить аноним­ность лица или организации, сообщающих о возможных инцидентах ИБ при особых обстоятельствах. Каждая организация должна сформулиро­вать положения, в которых бы четко разъяснялась важность сохранения анонимности или ее отсутствия для лиц и организаций, сообщающих о потенциальном инциденте ИБ. ГРИИБ может потребоваться дополни­тельная информация, не сообщенная изначально информирующим ли­цом или организацией. Более того, важная информация об инциденте ИБ может быть получена от первого обнаружившего его лица.

Конфиденциальность - в СУИИБ может содержаться конфиден­циальная информация и лицам, занимающимся инцидентами ИБ, может потребоваться доступ к ней. Поэтому во время обработки инцидентов ИБ необходимо обеспечить конфиденциальность такой информации, а персонал должен подписать соглашение о конфиденциальности (нераз­глашении) при получении доступа к ней. Если события ИБ регистриру­ются через общую систему управления проблемами организации, то конфиденциальные подробности, возможно, придется опустить. Кроме того, СУИИБ должна обеспечивать контроль за передачей сообщений об инцидентах ИБ сторонними организациями, включая средства массо­вой информации (СМИ), партнеров по бизнесу, потребителей, регуля­торов и широкую общественность.

Независимость деятельности ГРИИБ - группа должна эффек­тивно удовлетворять функциональные, финансовые, правовые и поли­тические потребности конкретной организации и соблюдать необходи­мую осторожность при управлении инцидентами ИБ в организации. Деятельность ГРИИБ должна также подвергаться независимому аудиту с целью проверки ее функционирования и удовлетворения требованиям бизнеса. Эффективным способом реализации независимости контроля является отделение цепочки сообщений о реагировании на инцидент ИБ от общего оперативного руководства и возложение на высшее руково­дство непосредственных обязанностей по управлению реагированием на инциденты ИБ. Финансирование работы группы, во избежание влияния на ее работу со стороны, также должно быть отдельным.