Процедура за управление на инциденти в сигурността на информационните системи и информацията

от | февруари 20, 2024 | Data protection

Инцидент в сигурността на информационните системи
A.    Класификация на инцидентите

Класификация

Примери 

Критичен

–         Над 80% от персонала (или няколко критични екипа) не могат да работят

–         Критични системи офлайн

–         Висок риск от нарушение на чувствителни клиентски или лични данни

–         Финансово въздействие от над 100 000 лв

–         Сериозно увреждане на репутацията – вероятно да окаже влияние върху бизнеса в дългосрочен план

Висок

–         50% от персонала не може да работи

–         Засегнати некритични системи

–         Риск от нарушаване на лични или чувствителни данни

–         Финансово въздействие над 50 000 лв

–         Потенциално сериозно увреждане на репутацията

Среден

–         20% от персонала не може да работи

–         Малък брой засегнати некритични системи

–         Възможно нарушение на малки количества нечувствителни данни

–         Финансово въздействие над 25 000 лв

–         Нисък риск за репутацията

Нисък

–         < 10% от некритичния персонал, засегнат временно (краткосрочно)

–         Минимално въздействие, ако има такова

–         Една или две нечувствителни/некритични машини са засегнати

–         Няма нарушение на данните

–         Незначителен риск за репутацията
B.    Въпроси в случай на инцидент

За да насочи усилията си за реакция при инцидент и да разбере обхвата и въздействието на инцидента, екипът по сигурността трябва да разработи списък с въпроси за разследване. Въпросите могат да бъдат различни за всеки инцидент/пробив в зависимост от неговия обхват и критичност.

Въпросите могат да бъдат:

  • Какъв е първоначалният вектор на проникване?
  • Каква следексплоатационна дейност е извършена? Били ли са компрометирани акаунти? Какво ниво на критичност има пробивът?
  • Субектът пробил системата/причинил инцидента има ли постоянство в мрежата или устройството?
  • Подозирано или известно ли е странично движение на субекта към друга система/база данни?
  • Как субектът поддържа контрола?
  • Имало ли е достъп до данни или ексфилтриране и ако да, какъв вид данни?

 

C.     Процедура за управление на инциденти

Няма един единствен метод за реагиране при пробив в сигурността. Пробивите в сигурността трябва да се разглеждат за всеки отделен случай, като се направи оценка на включените рискове и се използва тази оценка на риска, за да се вземе решение за подходящия курс на действие. В зависимост от естеството на нарушението може да се наложи екипът по сигурността да включва допълнителен персонал или външни експерти, например ИТ специалист/експерт по киберсигурност или експерт човешки ресурси.

Процедурата за управление на инциденти се състои от шест стъпки:

  • Първоначална реакция – Идентифицирайте дали е възникнал или се случва инцидент в момента. Този процес започва, след като някой забележи някаква аномалия в системата или мрежата.
  • Анализ – Определете степента на инцидента и го ограничете, за да предотвратите влошаването му.
  • Елиминация – Уверете се, че проблемът е отстранен.
  • Подобряване на сигурността – Идентифицирайте и елиминирайте средствата, чрез които системата е била компрометирана.
  • Уведомяване – Уведомете засегнатите лица и Надзорния орган (КЗЛД), ако е необходимо.
  • Преглед и оценка – Прегледайте инцидента и обмислете какви действия могат да бъдат предприети за предотвратяване на бъдещи нарушения.

В зависимост от нарушението може да не са необходими всички стъпки или някои стъпки може да бъдат комбинирани. В някои случаи може да е подходящо да се предприемат допълнителни стъпки, които са специфични за естеството на нарушението.

Изпратете запитване