Об утверждении регламента реагирования на инциденты информационной безопасности в информационных системах персональных данных

Приложение

к приказу МБУ СШ № 3 г. Ставрополя

от «___» __________ 2021 г. № ______

РЕГЛАМЕНТ

реагирования на инциденты информационной безопасности в

информационных системах персональных данных МБУ СШ № 3 г. Ставрополя

  1. Термины и определения
  2. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
  3. Инцидент информационной безопасности – любое непредвиденное или нежелательное событие, которое может нарушить деятельность или информационную безопасность. Инцидентами информационной безопасности являются:
    1. утрата услуг, оборудования или устройств;
    1. системные сбои или перегрузки;
    1. ошибки пользователей;
    1. несоблюдение политики или рекомендаций по информационной безопасности;
    1. нарушение физических мер защиты;
    1. неконтролируемые изменения систем;
    1. сбои программного обеспечения и отказы технических средств;
    1. нарушение правил доступа.
  4. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
  5. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).
  6. Средство защиты информации – программное обеспечение, программно-аппаратное обеспечение, аппаратное обеспечение, вещество или материал, предназначенное или используемое для защиты информации.
  7. Общие положения
  8. Настоящий Регламент реагирования на инциденты информационной безопасности в информационных системах персональных данных МБУ СШ № 3 г. Ставрополя (далее – Регламент), разработан в соответствии с законодательством Российской Федерации о персональных данных (далее –ПДн) и нормативно-методическими документами федеральных органов исполнительной власти по вопросам безопасности ПДн при их обработке в информационных системах персональных данных (далее –ИСПДн).
  9. Настоящий Регламент определяет:
  10. порядок регистрации событий безопасности;
  11. порядок выявления инцидентов информационной безопасности и реагированию на них;
  12. порядок проведения анализа инцидентов информационной безопасности, в том числе определение источников и причин возникновения инцидентов.
  13. Регламент обязателен для исполнения всеми работниками МБУ СШ № 3 г. Ставрополя (далее –Учреждение), непосредственно осуществляющими защиту ПДн в ИСПДн.
  14. Инциденты информационной безопасности
  15. К инцидентам ИБ относятся:
  16. несоблюдение требований по защите ПДн:
  17. использование ЭВМ в целях, не связанных с выполнением трудовых (служебных, должностных, функциональных) обязанностей;
  18. утрата носителя ПДн;
  19. утрата ключевых документов, ключей от помещений и хранилищ, личных печатей, удостоверений, пропусков.
  20. попытки НСД к ПДн:
  21. подбор чужого идентификатора и пароля, последующий доступ с использованием чужого пароля;
  22. изменение настроек, состава, паролей технических средств ИСПДн;
  23. изменение (увеличение) полномочий доступа;
  24. нарушение целостности установленных защитных пломб;
  25. копирование ПДн на неучтенные съемные носители ПДн;
  26. заражение рабочего места и/или сервера ИСПДн вредоносной программой;
  27. хищение носителей ПДн;
  28. хищение технических средств ИСПДн;
  29. умышленное нарушение работоспособности технических средств ИСПДн;
  30. хищение криптосредств, ключевых документов, ключей от помещений и хранилищ, личных печатей, удостоверений, пропусков;
  31. несанкционированное проникновение в помещения ИСПДн;
  32. очистка электронных журналов мониторинга.
  33. сбои в работе технических средств ИСПДн Общества.
  34. К инцидентам ИБ не относятся:
  35. неудачные попытки вторжений, которые были обнаружены и нейтрализованы с использованием СЗИ;
  36. неудачные попытки заражения рабочих мест и/или серверов ИСПДн вредоносной программой, которые были обнаружены и нейтрализованы с использованием СЗИ
  37. Порядок регистрации событий безопасности
  38. Регистрация событий безопасности в ИСПДн осуществляется в следующей последовательности:
  39. Определение событий безопасности, подлежащих регистрации, и сроков их хранения.
  40. Определение состава и содержания информации о событиях безопасности, подлежащих регистрации.
  41. Сбор, запись и хранение информации о событиях безопасности.
  42. Реагирование на сбои при регистрации событий безопасности.
  43. Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них.
  44. Генерирование временных меток и (или) синхронизация системного времени в ИСПДн.
  45. Защита информации о событиях безопасности.
  46. События безопасности, подлежащие регистрации в ИСПДн, должны определяться с учетом способов реализации угроз безопасности ПДн для ИСПДн. К событиям безопасности, подлежащим регистрации в ИСПДн, должны быть отнесены любые проявления состояния ИСПДн и ее системы защиты, указывающие на возможность нарушения конфиденциальности, целостности или доступности ПДн, доступности компонентов ИСПДн, нарушения процедур, установленных организационно-распорядительными документами по защите ПДн, а также на нарушение штатного функционирования средств защиты информации (далее – СЗИ).
  47. События безопасности, подлежащие регистрации в ИСПДн, и сроки хранения соответствующих записей регистрационных журналов должны обеспечивать возможность обнаружения, идентификации и анализа инцидентов информационной безопасности, возникших в ИСПДн.
  48. В ИСПДн подлежат регистрации следующие события:
  49. вход (выход), а также попытки входа субъектов доступа в ИСПДн и загрузки (остановка) операционной системы;
  50. подключение съемных машинных носителей ПДн и вывод ПДн на носители;
  51. запуск (завершение) программ и процессов (заданий, задач), связанных с обработкой ПДн;
  52. обновление или ошибки при обновлении программных средств ИСПДн и СЗИ;
  53. попытки доступа программных средств к определяемым защищаемым объектам доступа (техническим средствам, узлам сети, линиям (каналам) связи, внешним устройствам, программам, томам, каталогам, файлам, записям, полям записей) и иным объектам доступа;
  54. попытки удаленного доступа.
  55. Состав и содержание информации о событиях безопасности, включаемой в записи регистрации о событиях безопасности, должны, как минимум, обеспечить возможность идентификации типа события безопасности, даты и времени события безопасности, идентификационной информации источника события безопасности, результат события безопасности (успешно или неуспешно), субъекта доступа (пользователя и (или) процесса), связанного с данным событием безопасности.
  56. При регистрации входа (выхода) субъектов доступа в ИСПДн и загрузки (остановка) операционной системы состав и содержание информации должны, как минимум, включать дату и время входа (выхода) в систему (из системы) или загрузки (остановки) операционной системы, результат попытки входа (успешная или неуспешная), результат попытки загрузки (останова) операционной системы (успешная или неуспешная), идентификатор, предъявленный при попытке доступа.
  57. При регистрации подключения съемных машинных носителей ПДн и вывода ПДн на съемные носители состав и содержание регистрационных записей должны, как минимум, включать дату и время подключения съемных машинных носителей ПДн и вывода ПДн на съемные носители, логическое имя (номер) подключаемого съемного машинного носителя ПДн, идентификатор субъекта доступа, осуществляющего вывод ПДн на съемный носитель ПДн.
  58. При регистрации запуска (завершения) программ и процессов (заданий, задач), связанных с обработкой ПДн состав и содержание регистрационных записей должны, как минимум, включать дату и время запуска, имя (идентификатор) программы (процесса, задания), идентификатор субъекта доступа (устройства), запросившего программу (процесс, задание), результат запуска (успешный, неуспешный).
  59. При регистрации попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам состав и содержание регистрационных записей должны, как минимум, включать дату и время попытки доступа к защищаемому файлу с указанием ее результата (успешная, неуспешная), идентификатор субъекта доступа (устройства), спецификацию защищаемого файла (логическое имя, тип).
  60. При регистрации попыток доступа программных средств к защищаемым объектам доступа (техническим средствам, узлам сети, линиям (каналам) связи, внешним устройствам, программам, томам, каталогам, записям, полям записей) состав и содержание информации должны, как минимум, включать дату и время попытки доступа к защищаемому объекту с указанием ее результата (успешная, неуспешная), идентификатор субъекта доступа (устройства), спецификацию защищаемого объекта доступа (логическое имя (номер).
  61. При регистрации попыток удаленного доступа к ИСПДн состав и содержание информации должны, как минимум, включать дату и время попытки удаленного доступа с указанием ее результата (успешная, неуспешная), идентификатор субъекта доступа (устройства), используемый протокол доступа, используемый интерфейс доступа и (или) иную информацию о попытках удаленного доступа к ИСПДн.
  62. Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения должен предусматривать:
  63. возможность выбора Ответственным за обеспечение безопасности ПДн в ИСПДн и (или) Администратором ИСПДн событий безопасности, подлежащих регистрации в текущий момент времени из перечня событий безопасности, определенных в пункте 4.4 настоящего Регламента;
  64. генерацию (сбор, запись) записей регистрации (аудита) для событий безопасности, подлежащих регистрации (аудиту) в соответствии с составом и содержанием информации, определенными в соответствии с пунктами 4.6–4.11настоящего Регламента;
  65. хранение информации о событиях безопасности в течение времени, установленного в пункте 4.3настоящего Регламента.
  66. Объем памяти для хранения информации о событиях безопасности должен быть рассчитан и выделен с учетом типов событий безопасности, подлежащих регистрации в соответствии с составом и содержанием информации о событиях безопасности, подлежащих регистрации, в соответствии с пунктами 4.7 – 4.11настоящего Регламента, прогнозируемой частоты возникновения подлежащих регистрации событий безопасности, срока хранения информации о зарегистрированных событиях безопасности.
  67. В ИСПДн должно осуществляться реагирование на сбои при регистрации событий безопасности, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения объема (емкости) памяти.
  68. Реагирование на сбои при регистрации событий безопасности должно предусматривать:
  69. предупреждение (сигнализация, индикация) о сбоях (аппаратных и программных ошибках, сбоях в механизмах сбора информации или переполнения объема (емкости) памяти) при регистрации событий безопасности;
  70. реагирование на сбои при регистрации событий безопасности путем изменения Ответственным за обеспечение безопасности ПДн в ИСПДн и (или) Администратором ИСПДн параметров сбора, записи и хранения информации о событиях безопасности, в том числе отключение записи информации о событиях безопасности от части компонентов ИСПДн, запись поверх устаревших хранимых записей событий безопасности.
  71. Мониторинг (просмотр и анализ) записей регистрации (аудита) должен проводиться для всех событий, подлежащих регистрации в соответствии и с периодичностью, установленной оператором, и обеспечивающей своевременное выявление признаков инцидентов информационной безопасности в ИСПДн.
  72. В случае выявление признаков инцидентов информационной безопасности в ИСПДн осуществляется планирование и проведение мероприятий по реагированию на выявленные инциденты безопасности в соответствии с порядком проведения разбирательств по фактам возникновения инцидентов в ИСПДн.
  73. Получение меток времени, включающих дату и время, используемых при генерации записей регистрации (аудита) событий безопасности в ИСПДн,достигается посредством применения внутренних системных часов ИСПДн.
  74. Защита информации о событиях безопасности (записях регистрации (аудита)) обеспечивается применением мер защиты информации от неправомерного доступа, уничтожения или модифицирования и в том числе включает защиту средств ведения регистрации (аудита) и настроек механизмов регистрации событий.
  75. Доступ к записям аудита и функциям управления механизмами регистрации (аудита) должен предоставляться только уполномоченным должностным лицам:
  76. ответственному за обеспечение безопасности ПДн в ИСПДн;
  77. администратору ИСПДн.
  78. Порядок выявления инцидентов информационной безопасности и реагирования на них
  79. За выявление инцидентов информационной безопасности и реагирование на них отвечают:
  80. ответственный за обеспечение безопасности ПДн в ИСПДн;
  81. администраторИСПДн.
  82. Работники Учреждения, должны сообщать ответственным за выявление инцидентов информационной безопасности о любых инцидентах, в которые входят:
  83. факты попыток и успешной реализации несанкционированного доступа в ИСПДн, в помещения, в которых осуществляется обработка ПДн, и к хранилищам ПДн;
  84. факты сбоя или некорректной работы систем обработки информации;
  85. факты сбоя или некорректной работы СЗИ;
  86. факты разглашения ПДн;
  87. факты разглашения информации о методах и способах защиты и обработки ПДн.
  88. Все нештатные ситуации, факты вскрытия и опечатывания технических средств, выполнения профилактических работ, установки и модификации аппаратных и программных средств обработки ПДн в ИСПДн должны быть занесены ответственными за выявление инцидентов информационной безопасности в «Журнал учета нештатных ситуаций, фактов вскрытия и опечатывания технических средств, выполнения профилактических работ, установки и модификации аппаратных и программных средств обработки персональных данных в ГБУ ДО «КЦЭТК»», форма которого установлена в Приложении 1 к настоящему Регламенту или в электронные журналы операционной системы и СЗИ.
  89. Анализ инцидентов информационной безопасности, в том числе определение источников и причин возникновения инцидентов, осуществляется согласно порядку проведения разбирательств по фактам возникновения инцидентов информационной безопасности в ИСПДн.
  90. Меры по устранению последствий инцидентов информационной безопасности, планированию и принятию мер по предотвращению повторного возникновения инцидентов, возлагаются на ответственных за выявление инцидентов информационной безопасности.
  91. Основные этапы процесса реагирования на инциденты
  92. Лица, занимающиеся реагированием на инциденты должны обеспечить защиту ИСПДн и проинформировать пользователей, о важности мер по обеспечению информационной безопасности.
  93. Лица, занимающиеся реагированием на инциденты, должны определить, является ли обнаруженное ими с помощью различных систем обеспечения информационной безопасности событие инцидентом или нет. Для этого могут использоваться публичные отчеты, потоки данных об угрозах, средства статического и динамического анализа образцов программного обеспечения и другие источники информации. Статический анализ выполняется без непосредственного запуска исследуемого образца и позволяет выявить различные индикаторы, например, строки, содержащие URL-адреса или адреса электронной почты. Динамический анализ подразумевает выполнение исследуемой программы в защищенной среде (Песочнице) или на изолированной машине с целью выявления поведения образца и сбора артефактов его работы.
  94. Лица, занимающиеся реагированием на инциденты, должны идентифицировать скомпрометированные компьютеры и настроить правила безопасности таким образом, чтобы заражение не распространилось дальше по сети. Кроме того, на этом этапе необходимо перенастроить сеть таким образом, чтобы ИСПДн могли продолжать работать без зараженных машин.
  95. Далее лица, занимающиеся реагированием на инциденты, удаляют вредоносное программное обеспечение, а также все артефакты, которые оно могло оставить на зараженных компьютерах в ИСПДн.
  96. Ранее скомпрометированные компьютеры вводятся обратно в сеть. При этом лица, занимающиеся реагированием на инциденты, некоторое время продолжают наблюдать за состоянием этих машин и ИСПДн в целом, чтобы убедиться в полном устранении угрозы.
  97. Лица, занимающиеся реагированием на инциденты, анализируют произошедший инцидент, вносят необходимые изменения в конфигурацию программного обеспечения и оборудования, обеспечивающего информационной безопасности, и формируют рекомендации для того, чтобы в будущем предотвратить подобные инциденты. При невозможности полного предотвращения будущей атаки составленные рекомендации позволят ускорить реагирование на подобные инциденты.
  98. Порядок проведения разбирательств по фактам возникновения инцидентов информационной безопасности
  99. Для проведения разбирательств по фактам возникновения инцидентов информационной безопасности создаётся комиссия, состоящая не менее чем из трех человек с обязательным включением в её состав:
  100. ответственного за обеспечение безопасности ПДн в ИСПДн;
  101. администратора ИСПДн.
  102. Председатель комиссии организует работу комиссии, решает вопросы взаимодействия комиссии с руководителями и работниками структурных подразделений организации, готовит и ведёт заседания комиссии, подписывает протоколы заседаний. По окончании работы комиссии готовится заключение по результатам проведённого разбирательства, которое передается на рассмотрение Директору Учреждения.
  103. При проведении разбирательства устанавливаются:
  104. наличие самого факта совершения инцидента информационной безопасности, служащего основанием для вынесения соответствующего решения;
  105. время, место и обстоятельства возникновения инцидента, а также оценка его последствий;
  106. конкретный работник, совершивший инцидент информационной безопасности или повлекший своими действиями возникновения инцидента;
  107. наличие и степень вины работника, совершившего инцидент информационной безопасности или повлекшего своими действиями возникновение инцидента;
  108. цели и мотивы, способствовавшие совершению инцидента информационной безопасности.
  109. В целях проведения разбирательства все работники обязаны по первому требованию членов комиссии предъявить для проверки все числящиеся за ними материалы и документы, дать устные или письменные объяснения об известных им фактах по существу заданных им вопросов.
  110. Работник, совершивший инцидент информационной безопасности или повлекший своими действиями возникновения инцидента, обязан по требованию комиссии представить объяснения в письменной форме не позднее трех рабочих дней с момента получения соответствующего требования. Комиссия вправе поставить перед работником перечень вопросов, на которые работник обязан ответить. В случае отказа работника от письменных объяснений, комиссией составляется акт.
  111. Работник имеет право, по согласованию с председателем комиссии, знакомиться с материалами разбирательства, касающимися лично его, и давать по поводу них свои комментарии, предоставлять дополнительную информацию и документы. По окончании разбирательства работнику для ознакомления предоставляется итоговый акт с выводами комиссии.
  112. В случае давления на работника со стороны других лиц (не из состава комиссии) в виде просьб, угроз, шантажа и др., по вопросам, связанным с проведением разбирательства, работник обязан сообщить об этом председателю комиссии.
  113. До окончания работы комиссии и вынесения решения членам комиссии запрещается разглашать сведения о ходе проведения разбирательства и ставшие известные им обстоятельства.
  114. В процессе проведения разбирательства комиссией выясняются:
  115. перечень разглашенных сведений;
  116. причины разглашения сведений;
  117. лица, виновные в разглашении сведений;
  118. размер (экспертную оценку) причиненного ущерба;
  119. недостатки и нарушения, допущенные работниками при работе с ПДн;
  120. иные обстоятельства, необходимые для определения причин разглашения ПДн, степени виновности отдельных лиц, возможности применения к ним мер воздействия.
  121. По завершении разбирательства комиссией составляется заключение. В заключении указываются:
  122. основание для проведения в разбирательства;
  123. состав комиссии и время проведения разбирательства;
  124. сведения о времени, месте и обстоятельствах возникновения инцидента информационной безопасности;
  125. сведения о работнике, совершившем инцидент информационной безопасности или повлекшем своими действиями возникновения инцидента (должность, фамилия, имя, отчество, год рождения, время работы в Учреждении, а также в занимаемая должность);
  126. цели и мотивы работника, способствовавшие совершению инцидента информационной безопасности;
  127. причины и условия возникновения инцидента информационной безопасности;
  128. данные о характере и размерах причиненного в результате инцидента ущерба;
  129. предложения о мере ответственности работника, совершившего инцидент информационной безопасности или повлекшего своими действиями возникновения инцидента.
  130. На основании заключения выносится решение о применении мер ответственности к работнику, совершившему инцидент или повлекшему своими действиями возникновению инцидента, также о возмещении ущерба виновным работником (или его законным представителем), которое доводится до указанного работника в письменной форме под расписку.
  131. Все материалы разбирательства относятся к информации ограниченного доступа и хранятся в течение 5 лет. Копии заключения и распоряжения по результатам разбирательства приобщаются к личному делу работника, в отношении которого оно проводилось.
  132. Ответственность
  133. Все работники, осуществляющие защиту ПДн, обязаны ознакомиться с данным Регламентом под подпись.
  134. Работники несут персональную ответственность за выполнение требований настоящего Регламента.
  135. Срок действия и порядок внесения изменений
  136. Настоящий Регламент вступает в силу с момента его утверждения и действует бессрочно.
  137. Настоящий Регламент подлежит пересмотру не реже одного раза в три года.
  138. Изменения и дополнения в настоящий Регламент вносятся приказом Директора Учреждения.

Приложение № 1

к Регламенту реагирования на инциденты информационной безопасности в информационных системах персональных данных МБУ СШ № 3 г. Ставрополя

ФОРМА

Журнал учета нештатных ситуаций, фактов вскрытия и опечатывания технических средств, выполнения профилактических работ, установки и модификации аппаратных и программных средств обработки информации

в МБУ СШ № 3 г. Ставрополя

№ п/пДатаКраткое описание выполненной работы (нештатной ситуации)ФИО Ответственного за обеспечение безопасности персональных данных в информационных системах персональных данных, подписьФИО Администратора информационной системы, подписьПримечание
123456

ЛИСТ ОЗНАКОМЛЕНИЯ

с приказом МБУ СШ № 3 г. Ставрополя от «___» ____________ 2021 г. № ______

«Об утверждении регламента реагирования на инциденты информационной безопасности в информационных системах персональных данных»

№ п/пФамилия имя отчествоДолжностьДата ознакомленияПодпись
1  «___» ___ 20__ г. 
2  «___» ___ 20__ г. 
3  «___» ___ 20__ г. 
4  «___» ___ 20__ г. 
5  «___» ___ 20__ г. 
6  «___» ___ 20__ г. 
7  «___» ___ 20__ г. 
8  «___» ___ 20__ г. 
9  «___» ___ 20__ г. 
10  «___» ___ 20__ г. 
11  «___» ___ 20__ г. 
12  «___» ___ 20__ г. 
13  «___» ___ 20__ г. 
14  «___» ___ 20__ г. 
15  «___» ___ 20__ г. 
16  «___» ___ 20__ г. 
17  «___» ___ 20__ г. 
18  «___» ___ 20__ г. 
19  «___» ___ 20__ г. 
20  «___» ___ 20__ г.