Построение процесса управления инцидентами

С чего начать построение процесса управления инцидентами? Как организовать взаимодействие между подразделениями и определять эффективность ведущейся работы? Об этом и многом другом − в статье о построении процесса управления инцидентами. Управление инцидентами является одним из важнейших процессов развития и совершенствования системы управления информационной безопасностью. Именно этот процесс позволяет понять недостатки процессов и контроля, получить исходные данные для разработки планов восстановления непрерывности и определить ключевые роли персонала в случае возникновения нештатных ситуаций.

ФУНДАМЕНТ

Сразу оговоримся: в данной статье речь идёт именно об инцидентах информационной безопасности. Сообщения (в контексте ITIL), которые принимает единый центр (ServiceDesk, Help Desk и т.д.) и которые ещё надо классифицировать, мы оставим за рамками данной статьи.

Таким образом, инцидент – любое событие, которое не является частью стандартных операций сервиса и вызывает или может вызвать прерывание обслуживания или снижение качества сервиса (Схема 1).

Схема 1.

Управление инцидентами – деятельность по восстановлению нормального обслуживания с минимальными задержками и влиянием на бизнес-операции; является реактивным, сфокусированным на краткосрочную перспективу сервисом восстановления.

Существует множество стандартов и «лучших практик» управления инцидентами. Среди них мы отметим следующие: • ISO/IEC 27001:2013 Information security management system. Requirements. В рамках данного стандарта выдвигаются общие требования построения системы управления информационной безопасности, относящиеся в том числе и к процессам управления инцидентами.

• ISO/IEC TR 18044 Information security incident management. Данный документ описывает инфраструктуру управления инцидентами в рамках циклической модели PDCA. Даются подробные спецификации стадий планирования, эксплуатации, анализа и улучшения процесса. Рассматриваются вопросы обеспечения нормативно-распорядительной документацией, ресурсами, даются подробные рекомендации по необходимым процедурам.
• CMU/SEI-2004-TR-015 Defining incident management processes for CISRT. Этот документ описывает методологию планирования, внедрения, оценки и улучшения процессов управления инцидентами. Основной упор делается на организацию работы CISRT (Critical Incident Stress Response Team) – группы или подразделения, обеспечивающего сервис и поддержку предотвращения, обработку и реагирование на инциденты информационной безопасности. Вводится ряд критериев, на основании которых можно оценивать эффективность данных сервисов, приводятся подробные процессные карты.
• NIST SP 800-61 Computer security incident handling guide. Это сборник «лучших практик» построения процессов управления инцидентами и реагирования на них. Подробно разбираются вопросы реагирования на разные типы угроз, такие как распространение вредоносного программного обеспечения, несанкционированный доступ и другие.
• ГОСТ Р ИСО/МЭК 18044 Менеджмент инцидентов информационной безопасности. Стандарт устанавливает рекомендации для менеджмента инцидентов информационной безопасности руководителям подразделений информационной безопасности, информационных систем, сервисов и сетей.

ПРОБЛЕМАТИКА

Обнаружение инцидента всегда сопряжено со стрессом. Сотрудники осознают возможные негативные последствия и должны четко знать все необходимые действия, шаг за шагом ведущие к устранению инцидента (Схема 2).

Схема 2.

В подобной ситуации, при отсутствии четких инструкций и должного уровня обучения, процесс реагирования на инциденты превращается в стохастические попытки выявления и устранения инцидентов. Зачастую функции, которые чётко должен выполнять один человек, «размазываются» между несколькими сотрудниками, которые в результате действуют параллельно и лишь теряют драгоценное время.