Порядок реагирования на инциденты информационной безопасности

59. К инцидентам информационной безопасности относятся:

НСД к персональным данным и иной защищаемой информации ИС (в том числе хищение машинных носителей персональных данных, аппаратных средств ИС, несанкционированное подключение технических средств к средствам и системам обработки информации в ИС, действие вредоносных программ, маскировка под зарегистрированного пользователя ИС и др.);

неправомерные, случайные и ошибочные действия пользователей ИС (в том числе разглашение персональных данных, несанкционированное изменение, копирование, передача, уничтожение персональных данных, несанкционированное отключение СрЗИ, передача персональных данных по открытым каналам связи, несоблюдение установленного в Росводресурсах порядка обработки и обеспечения безопасности персональных данных, утрата машинных носителей персональных данных и др.);

нарушение функционирования технических средств ИС, нештатные ситуации, в том числе:

дефекты, сбои, отказы программных и аппаратных средств ИС;

дефекты, сбои, отказы СрЗИ;

сбои, отказы, аварии подсистем жизнеобеспечения ИС, подсистем обеспечения отказоустойчивости и подсистем резервного копирования и хранения данных.

60. Источником информации об инциденте информационной безопасности могут служить сообщения сотрудников Росводресурсов, уведомления (сообщения) органов, осуществляющих контроль или надзор за деятельностью Росводресурсов, данные, полученные на основании анализа журналов аудита СЗИ и в ходе проведения мероприятий по контролю.

61. Информация об инциденте информационной безопасности сообщается сотрудниками Росводресурсов администратору ИБ. Каждый инцидент подлежит учету администратором ИБ.

62. В срок, не превышающий одного рабочего дня, сотрудники Росводресурсов, ответственные за реагирование на инциденты информационной безопасности, принимают меры по ликвидации последствий таких инцидентов и при необходимости по восстановлению работоспособности ИС.

63. Инциденты информационной безопасности подлежат расследованию в рамках проведения проверки, которая организуется администратором ИБ совместно с оператором ИС.

64. Расследованием обстоятельств инцидента занимается администратор ИБ совместно с оператором ИС. В случае необходимости администратор ИБ совместно с оператором ИС могут привлекать к проверке иных сотрудников Росводресурсов.

65. Администратор ИБ совместно с оператором ИС обязаны определить, имела ли место утечка защищаемой информации, обстоятельства, ей сопутствующие, установить лиц, виновных в нарушении предписанных мероприятий по защите персональных данных, а также причины и условия этого нарушения.

66. Результатом работы администратора ИБ и оператора ИС должен стать акт, в котором изложены:

документальное подтверждение факта нарушения (инцидента информационной безопасности);

причины выявленного нарушения;

предложения по устранению причин выявленного нарушения.

67. По результатам работы администратора ИБ и оператора ИС руководителем Росводресурсов принимается решение о привлечении к ответственности лиц, виновных в произошедшем инциденте информационной безопасности, и о проведении работ по предупреждению возникновения подобных инцидентов в дальнейшем.