План реагирования на инциденты ИБ нужен, чтобы при шифровании данных, утечке или подозрительной активности команда не теряла часы на поиск ответственных и спорные решения. Документ фиксирует порядок действий, роли и критерии восстановления критичных сервисов.
Когда план нужно запускать
Поводом могут стать недоступность 1С, почты или файловых ресурсов, признаки шифрования, вход с необычной учётной записи, утечка данных, массовые предупреждения антивируса или подозрительный сетевой трафик. Не обязательно ждать подтверждённого взлома: на первом этапе задача — ограничить риск и сохранить факты.
Первые 60 минут: что сделать
- Зафиксировать время, затронутые системы и признаки инцидента.
- Ограничить доступ к скомпрометированным учётным записям или узлам, не уничтожая журналы и доказательства.
- Определить владельца бизнес-процесса и технического координатора.
- Проверить, какие сервисы критичны: 1С, почта, файловые ресурсы, удалённые рабочие места, VPN.
- Оценить, есть ли изолированные резервные копии и когда они были успешно проверены.
Роли и порядок коммуникации
У каждого сценария должен быть ответственный за техническую координацию, владелец бизнес-процесса, руководитель, принимающий решение о допустимом простое, и сотрудник, который ведёт журнал действий. Это позволяет не смешивать восстановление, расследование и коммуникацию с пользователями.
Локализация и восстановление
После ограничения распространения инцидента проверяют точки входа, привилегированные учётные записи, удалённый доступ, обновления и журналы событий. Восстанавливать системы следует по приоритету бизнеса и заранее согласованным показателям RTO/RPO. Резервная копия ценна только если подтверждена её целостность и возможность восстановления в нужный срок.
Что включить в регулярную подготовку
- перечень критичных систем и владельцев;
- контакты ответственных и порядок эскалации;
- сценарии изоляции, смены паролей и восстановления;
- проверки резервных копий и тестовые восстановления;
- периодический аудит доступов, внешних сервисов и точек входа.
Связь с аудитом ИБ
Перед созданием или обновлением плана полезно провести аудит информационной безопасности: он помогает определить критичные сервисы, слабые места доступа и порядок устранения рисков. Для технической готовности используйте материалы о резервном копировании и плане аварийного восстановления.
ЗЕОНИТ помогает провести аудит ИБ, выстроить защиту и подготовить инфраструктуру к инцидентам.
- Войдите, чтобы оставлять комментарии