План реагирования на инциденты КИИ

План реагирования разрабатывается субъектами КИИ, у которых есть значимые объекты — то есть объекты, которым по итогам категорирования присвоена одна из трёх категорий значимости. Для организаций, не относящихся к перечисленным в ст. 2 закона 187-ФЗ критическим сферам — здравоохранение, транспорт, связь, энергетика, финансовая сфера и другие, — этот документ не требуется, поскольку у них нет объектов КИИ как таковых.

Даже среди субъектов КИИ обязанности различаются: для объектов без присвоенной категории значимости объём требований к реагированию меньше, чем для значимых объектов, где нарушение функционирования способно повлечь серьёзные социальные, экономические или иные последствия.

Для образовательных проектов и малого бизнеса, которые к субъектам КИИ не относятся, документ такого рода не требуется в привязке к 187-ФЗ. Но многие принципы плана реагирования — роли, сроки, порядок фиксации — стоит переиспользовать в собственном внутреннем порядке реагирования на инциденты информационной безопасности, включая утечки персональных данных.

ГосСОПКА — государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак, предусмотренная законом 187-ФЗ. Субъекты КИИ, эксплуатирующие значимые объекты, обязаны информировать уполномоченный орган о компьютерных инцидентах и оказывать содействие в обнаружении, предупреждении и ликвидации последствий компьютерных атак.

На практике взаимодействие строится через технические средства обнаружения атак, установленные субъектом, и через прямое информирование регулятора при выявлении инцидента. План реагирования должен описывать, кто из сотрудников организации отвечает за это информирование, какие каналы связи используются и какой набор сведений передаётся.

Некоторые субъекты КИИ создают собственные центры реагирования на компьютерные инциденты, которые встраиваются в общую архитектуру ГосСОПКА. Для менее крупных организаций достаточно назначить ответственное лицо, которое поддерживает связь с территориальным подразделением регулятора и передаёт сведения по установленной форме.

Разумная структура документа включает:

• определение компьютерного инцидента применительно к объектам организации и признаки, по которым он выявляется;
• роли и ответственных лиц — кто фиксирует инцидент, кто принимает решение о реагировании, кто взаимодействует с ГосСОПКА;
• порядок и сроки уведомления уполномоченного органа;
• перечень мер по локализации инцидента и восстановлению функционирования объекта;
• порядок фиксации инцидента и хранения доказательств для последующего анализа;
• порядок разбора инцидента после его устранения и корректировки мер защиты.

План разрабатывается с учётом конкретной архитектуры объектов КИИ субъекта и утверждается руководителем организации.

Типовой алгоритм реагирования на инцидент - последовательность из нескольких шагов.

1. Обнаружение и первичная фиксация признаков инцидента.
2. Оценка масштаба и потенциальных последствий.
3. Принятие мер по локализации: ограничение доступа, изоляция затронутых сегментов сети.
4. Уведомление уполномоченного органа в установленном порядке.
5. Восстановление штатного функционирования объекта.
6. Последующий анализ причин инцидента.

Важно, чтобы план не оставался документом «на бумаге»: сотрудники, ответственные за реагирование, должны быть с ним ознакомлены и понимать свою роль в конкретной последовательности действий, а не читать план впервые уже во время инцидента.

Полезная практика - периодические тренировки по сценариям из плана, хотя бы в формате разбора гипотетического инцидента на бумаге. Это позволяет заранее выявить пробелы: например, отсутствие резервного канала связи с ответственным лицом на случай, если основной недоступен именно во время атаки.

На практике документы по КИИ разрабатываются в связке, в определённой последовательности.

Отдельно план реагирования стоит согласовать с общей политикой информационной безопасности организации - документом более высокого уровня, который задаёт принципы защиты информации в целом. План детализирует эти принципы применительно к конкретным объектам КИИ и конкретным сценариям инцидентов.