ГОСТ Р ИСО/МЭК ТО 18044-2007

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

                                            ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                                                 НАЦИОНАЛЬНЫЙ
                                                    СТАНДАРТ
                                                                              ГОСТРИСО/МЭКТО
                                                  РОССИЙСКОЙ                  18044    —



                                                   ФЕДЕРАЦИИ                  2007




                                           И н ф о р м а ц и о н н а я т е х н о л о ги я
                                М е то д ы и с р е д с т в а о б е с п е ч е н и я б е з о п а с н о с т и

                                       МЕНЕДЖМЕНТ ИНЦИДЕНТОВ
                                    ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

                                                        ISO/IEC TR 18044:2004
                              Information technology — Security techniques — Information security incident
                                                             management
                                                                  (IDT)



                                                           Издание официальное




                         S
                         s
                         §
                         I
                         n
                         L0




                                                                      Москва
                                                                  Стандартинформ
                                                                       2009




конструктивные решения

ГОСТ Р ИСО/МЭК ТО 18044—2007


                                        Предисловие

      Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом
от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании», а правила применения национальных
стандартов Российской Федерации — ГОСТ Р 1.0—2004 «Стандартизация в Российской Федерации.
Основные положения»

     Сведения о стандарте

     1 ПОДГОТОВЛЕН Федеральным государственным учреждением «Государственный научно-ис­
следовательский испытательный институт проблем технической защиты информации Федеральной
службы по техническому и экспортному контролю» (ФГУ «ГНИИИ ПТЗИ ФСТЭК России») и обществом с
ограниченной ответственностью «Научно-производственная фирма «Кристалл» (ООО «НПФ «Крис­
талл») на основе собственного аутентичного перевода стандарта, указанного в пункте 5

     2 ВНЕСЕН Управлением технического регулирования и стандартизации Федерального агентства
по техническому регулированию и метрологии

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ приказом Федерального агентства по техническому регу­
лированию и метрологии от 27 декабря 2007 г. № 513-ст

      4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК ТО 18044:2004 «Инфор­
мационные технологии. Финансовые услуги. Рекомендации по информационной безопасности»
(ISO/1EC TR 18044:2004 «Information technology— Security techniques— Information security incident
management»).
      При применении настоящего стандарта рекомендуется использовать вместо ссылочных междуна­
родных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о
которых приведены в дополнительном приложении С

     5 ВВЕДЕН ВПЕРВЫЕ




     Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом ин­
формационном указателе «Национальные стандарты», а текст изменений и поправок — в ежеме­
сячно издаваемых информационных указателях «Националы<ые стандарты». В случав пересмотра
(замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано
в ежемесячно издаваемом информационном указателе «Национальные стандарты». Соответству­
ющая информация, уведомления и тексты размещаются также в информационной системе общего
пользования — на официальном сайте Федерального агентства по техническому регулированию и
метрологии в сети Интернет




                                                                        © Стандартинформ. 2009

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас­
пространен в качестве официального издания без разрешения Федерального агентства по техническо­
му регулированию и метрологии

и

ГОСТ Р ИСО/МЭК ТО 18044—2007


                                                                        Содержание

1 Область применения......................................................................................................................................... 1
2 Нормативные ссылки......................................................................................................................................... 1
3 Термины и определения................................................................................................................................... 1
4 Общие п ол ож ени я ............................................................................................................................................ 2
  4.1 Ц е л и ............................................................................................................................................................2
  4.2 Этапы .....................................................................                                                                                         2
5 Преимущества структурного подхода и ключевые вопросы менеджмента инцидентов информацион­
ной безопасности ................................................................................................................................................. 5
  5.1 Преимущества............................................................................................................................................ 5
  5.2 Ключевые вопросы......................................................................................................................................6
6 Примеры инцидентов информационной безопасности и их причины..................................................... 10
  6.1 Отказ в обслуживании.............................................................................................................................10
  6.2 Сбор инф орм ации................................................................................................................................... 11
  6.3 Несанкционированный доступ................................................................................................................ 12
7 Этап «Планирование и подготовка»............................................................................................................. 12
  7.1 Общее представление о менеджменте инцидентов информационной безопасности.................. 12
  7.2 Политика менеджмента инцидентов информационной безопасности........................................... 13
  7.3 Программа менеджмента инцидентов информационной безопасности........................................ 15
  7.4 Политики менеджмента рисков и информационной безопасности..................................................17
  7.5 Создание группы реагирования на инциденты информационной б езопасности.........................18
  7.6 Техническая и другая поддержка реагирования на инциденты информационной
       безопасности............................................................................................................................................ 19
  7.7 Обеспечение осведомленности и о б уче н и е ...................                                                                                                   20
8 Этап «Использование»................................................................................................................................... 21
  8.1 В вед ени е.................................................................................................................................................. 21
  8.2 Обзор ключевых процессов................................................................................................................... 22
  8.3 Обнаружение и оповещение о событиях информационной безопасности.....................................22
  8.4 Оценка и принятие решений по событиям/инцидентам.................................................................... 23
  8.5 Реагирование на инциденты................................................................................................................... 26
9 Этап «Анализ»...................................................................................................................................................32
  9.1 В вед ени е...................................................................................................................................................32
  9.2 Дальнейшая правовая э кс п е р ти за .......................................................................................................32
  9.3 Извлеченные уроки...................................................................................................................................32
  9.4 Определение улучшений б е зо п а сно сти............................................................................................. 32
  9.5 Определение улучшений с и с т е м ы .......................................................................................................33
10 Этап «Улучшение»......................................................................................................................................... 33
    10.1 Введение............................................................................................................................................... 33
    10.2 Улучшение анализа рисков и менеджмента безопасности...........................................................33
    10.3 Осуществление улучшений безопасности....................................................................................... 33
    10.4 Осуществление улучшений системы................................................................................................ 34
    10.5 Другие улучш ения................................................................................................................................34
Приложение А (справочное) Образец формы отчета о событиях и инцидентах информационной
                 безопасности............................................................................................................................ 35
Приложение В (справочное) Примеры общих рекомендаций по оценке инцидентов информационной
                 безопасности............................................................................................................................ 42
Приложение С (справочное) Сведения о соответствии национальных стандартов Российской
                 Федерации ссылочным международным стандартам........................................................45
Библиография......................................................................................................................................................45


                                                                                                                                                                       in

ГОСТ Р ИСО/МЭК ТО 18044—2007


                                          Введение

     Типовые политики информационной безопасности или защитные меры информационной безопас­
ности (ИБ) не могут полностью гарантировать защиту информации, информационных систем, сервисов
или сетей. После внедрения защитных мер. вероятно, останутся слабые места, которые могут сделать
обеспечение информационной безопасности неэффективным, и. следовательно, инциденты информа­
ционной безопасности — возможными. Инциденты информационной безопасности могут оказывать
прямое или косвенное негативное воздействие на бизнес-деятельность организации. Кроме того, будут
неизбежно выявляться новые, ранее не идентифицированные угрозы. Недостаточная подготовка кон­
кретной организации к обработке таких инцидентов делает практическую реакцию на инциденты мало­
эффективной. и это потенциально увеличивает степень негативного воздействия на бизнес. Таким
образом, для любой организации, серьезно относящейся к информационной безопасности, важно при­
менять структурный и плановый подход к:
     - обнаружению, оповещению об инцидентах информационной безопасности и их оценке;
     - реагированию на инциденты информационной безопасности, включая активизацию соответству­
ющих защитных мер для предотвращения, уменьшения последствий и (или) восстановления после не­
гативных воздействий (например, в областях поддержки и планирования непрерывности бизнеса);
     - извпечению уроков из инцидентов информационной безопасности, введению превентивных за­
щитных мер и улучшению общего подхода к менеджменту инцидентов информационной безопасности.
     Положения настоящего стандарта содержат представление о менеджменте инцидентов инфор­
мационной безопасности в организации с учетом сложившейся практики на международном уровне.
     Настоящий стандарт предназначен для использования организациями всех сфер деятельности
при обеспечении информационной безопасности в процессе менеджмента инцидентов. Его положения
могут использоваться совместно с другими стандартами, в том числе стандартами, содержащими тре­
бования к системе менеджмента информационной безопасности и системе менеджмента качества
организации.




IV