Назначение и область применения. Документ фиксирует набор событий информационной безопасности, подлежащих обязательной регистрации при обработке персональных данных в ИСПДн. Область применения - все информационные системы, хранящие и обрабатывающие персональные данные организации. Владелец документа - ответственный за организацию обработки персональных данных, утверждение оформляет руководитель организации. Перечень служит связующим элементом между средствами регистрации событий и процедурами расследования.
Типы событий, которые должны входить в перечень. Перечень должен содержать именованные события, описанные существующими процедурами, например: факты неправомерного доступа к персональным данным, попытки обхода средств аутентификации и авторизации, операции с учетными записями привилегированных пользователей, массовый экспорт или удаление данных, сбои копирования и восстановления, обнаружения вредоносного ПО, изменения конфигураций безопасности. Для каждого события указывают источник логов, минимальный набор полей регистрации и критерии классификации по критичности.
Требования к регистрации и уведомлению при инцидентах. Для событий, подпадающих под признаки утечки или неправомерного доступа, необходимо обеспечить оперативную регистрацию с сохранением контекста расследования и подготовку уведомлений в установленные сроки. Наличие механизма оперативного оповещения и записи принятых решений снижает риск административной ответственности при несвоевременном реагировании. Порядок уведомления и границы ответственности должны быть закреплены в сопроводительных процедурах и связаны с реестром событий.
Реализация и типичные ошибки при внедрении. Практическая реализация предусматривает: назначение ответственных за регистрацию и классификацию событий, настройку журналирования на критичных системах, обеспечение сохранности и корреляции логов, связку реестра событий с процедурами расследования и управленческими решениями. Частые ошибки - неполное покрытие компонент ИСПДн, регистрация только технических ошибок без контекста, отсутствие описанных критериев для определения критичности и неучтённые события аутентификации. При настройке обратите внимание на регламент управления средствами аутентификации и на соответствие уровня регистрации требованиям организации.
Позвонить