W dzisiejszym świecie biznesu incydenty związane z bezpieczeństwem informacji są uważane za znaczne ryzyko, które może poważnie zaszkodzić firmie. W celu zabezpieczenia zasobów informacyjnych firmy muszą szybko identyfikować, oceniać i skutecznie zarządzać incydentami.
Incydent związany z bezpieczeństwem informacji, to pojedyncze zdarzenie lub serie niepożądanych lub niespodziewanych zdarzeń związanych z bezpieczeństwem informacji, które stwarzają znaczne prawdopodobieństwo zakłócenia działań biznesowych i zagrażają bezpieczeństwu informacji. Takie sytuacje wymagają stworzenia odpowiedniej struktury oraz procedur, by móc zapobiegać ich wystąpieniu oraz skutecznie na nie reagować.
ISO/IEC 27035 Zarządzanie incydentami związanymi z bezpieczeństwem informacji to norma o charakterze międzynarodowym, ponieważ trend bezpieczeństwa informacji jest globalny. Norma ISO/IEC 27035 stanowi usystematyzowaną odpowiedź na zainteresowanie firm w tym obszarze. Wskazuje najlepsze praktyki i wytyczne dotyczące prowadzenia strategicznego planu zarządzania i reagowania na incydenty. Ponadto norma ISO/IEC 27035 obejmuje określone procesy zarządzania zdarzeniami i potencjalnymi lukami w zabezpieczeniach informacji.
Norma ISO/IEC 27035 składa się z trzech części, wytyczne które wskazuje są uniwersalne. Znajdą one zastosowanie w każdej branży, niezależnie od wielkości przedsiębiorstwa. Norma ma na celu pomóc osobom posiadającym wszechstronną wiedzę specjalistyczną w wykrywaniu, zgłaszaniu i ocenie incydentów związanych z bezpieczeństwem informacji. ISO/IEC 27035 pomoże stać się specjalistą ds. bezpieczeństwa, który będzie w stanie zminimalizować skutki każdego incydentu organizacji. Ten międzynarodowy standard jest przewodnikiem dla osób pragnących zdobyć najwyższe umiejętności i wiedzę, aby chronić swoją organizację przed incydentami bezpieczeństwa i ograniczyć wynikające z nich skutki finansowe.
ISO/IEC 27001 to najpopularniejsza i najważniejsza międzynarodowa norma dotycząca zarządzania bezpieczeństwem informacji. ISO/IEC 27001 określa wymagania dla tzw. Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). Jednym z elementów SZBI jest zarządzanie incydentami. Celem normy ISO/IEC 27035 jest nie tylko zastosowanie wytycznych dotyczących zarządzania incydentami, przedstawienie procesów zarządzania nimi i wykrycie luk w SZBI, ale także pomoc w spełnieniu wymagań stawianych przez ISO/IEC 27001.
Norma ISO 27035 składa się z 3 oddzielnych dokumentów:
ISO/IEC 27035 opiera się na następujących fazach zarządzania incydentami. Cykliczne podejście, gdzie ostatnia faza (Wyciągnięte wnioski) stanowi wkład do pierwszej fazy (Planowanie i przygotowanie) zapewnia ciągłe doskonalenie zarządzania.
Do faz cyklu należą:
1. Planowanie i przygotowanie
2. Identyfikacja i zgłoszenie incydentu
3. Ocena incydentu i podjęcie decyzji odnośnie reakcji na incydent
4. Odpowiedź na incydent
5. Wyciąganie wniosków
Faza planowania i przygotowania
Właściwe planowanie to skuteczna reakcja na incydent. Norma jako pierwszy krok przygotowawczy wskazuje ustanowienie polityki zarządzania incydentami związanymi z bezpieczeństwem informacji. Taka polityka powinna obejmować nie tylko ogólne podejście do zarządzania incydentami cyberbezpieczeństwa, ale także wymieniać korzyści płynące dla organizacji z odpowiednio ustrukturyzowanego zarządzania incydentami. Taka polityka powinna być znana wszystkim pracownikom oraz najwyższemu kierownictwu, co zapewni przydzielenie zasobów adekwatnych do podejmowanych działań.
ISO/IEC 27035 wymaga, aby istnienie polityki zarządzania incydentami związanymi z bezpieczeństwem informacji było odzwierciedlone w innych dokumentach wysokiego poziomu jak np. polityka bezpieczeństwa informacji w organizacji.
Polityka zarządzania incydentami związanymi z bezpieczeństwem informacji jest ogólnym dokumentem wysokiego poziomu. Powinna być podstawą procedur niższego szczebla. Podstawowym dokumentem dotyczącym zarządzania incydentami powinien być schemat zarządzania incydentami bezpieczeństwa informacji (zwany również planem reagowania), zawierający szczegółowe informacje proceduralne i techniczne dotyczące podejścia do zarządzania incydentami.
Częścią działań przygotowawczych powinno być również opracowanie programu szkoleniowego w zakresie incydentów cyberbezpieczeństwa i reagowania na incydenty. Taka świadomość pracownika może mieć krytyczny wpływ na prawidłową reakcję na incydent. Mogą wystąpić zdarzenia, które nie są wykrywane przez zautomatyzowane systemy, ale mogą być postrzegane przez pracowników jako anomalie – wtedy tylko od wiedzy pracownika zależy, czy takie zdarzenie będzie zgłoszone, czy nie. Nie należy więc lekceważyć tego kroku przygotowawczego. I wreszcie, co nie mniej ważne, należy utworzyć zespół reagowania na incydenty - Incident Response Team (IRT).
Identyfikacja i zgłoszenie incydentu
ISO/IEC 27035 różnicuje następujące źródła informacji o zdarzeniach:
Zarządzanie wszystkimi tymi źródłami może być nieco skomplikowane, więc możesz rozważyć użycie oprogramowania do automatyzacji zabezpieczeń do obsługi określonych interakcji i komunikacji.
Norma podkreśla, że wykryte podatności i rosnące ryzyka powinny wyzwalać odpowiednie działania ze strony zespołu reagowania na incydenty. Wszystkie zdarzenia powinny być śledzone w dedykowanym systemie śledzenia i monitorowania, obsługiwanym przez zespół reagowania na incydenty. Wskazuje również, że jednym z głównych celów tworzenia takiego systemu jest wsparcie zespołu w podejmowaniu odpowiednich decyzji. Celem jest, żeby były one podejmowane w oparciu o rzetelne dowody, dlatego do systemu należy wprowadzać jak najwięcej istotnych danych.
Ocena incydentu i podjęcie decyzji odnośnie reakcji na incydent
ISO/IEC 27035 proponuje dwupoziomowe podejście do oceny sytuacji. Oceny pierwszego zdarzenia dokonuje tzw. PoC (point of contact), który może nie być zespołem reagowania na incydenty (może to być np. helpdesk). PoC musi postępować zgodnie ze standardową procedurą operacyjną, aby określić, czy zdarzenie jest incydentem, czy nie.
Norma definiuje trzy obszary oceny, które wpływają na kategoryzację zdarzenia jako incydentu:
Takie podejście zapewnia, że fałszywe alarmy i inne nieistotne zdarzenia są eliminowane z dalszego przetwarzania, a zespół reagowania na incydenty nie angażuje się w działania niezwiązane z rzeczywistymi incydentami.
Następnie PoC decyduje, czy zdarzenie powinno zostać przekazane do IRT. Jeśli tak, IRT przeprowadza drugą ocenę, aby ponownie potwierdzić (lub zmienić) klasyfikację zdarzenia. Jeśli zdarzenie jest sklasyfikowane jako incydent, zadaniem IRT jest ustalenie priorytetów i zaplanowanie odpowiednich działań.
Norma wymaga również, aby ta faza obejmowała formalne przypisanie działań reagowania na incydenty odpowiednim osobom, rejestrowanie wszystkich działań IRT i elektroniczne gromadzenie dowodów.
Odpowiedź na incydent
Podczas tej fazy wykonywane są decyzje podjęte w poprzedniej fazie. ISO/IEC 27035 rozróżnia stan „kryzysowy” i stan „bezkryzysowy”. To bardzo ważne rozróżnienie w zakresie zarządzania ciągłością działania. Wiele incydentów, choć poważnych, nie zagraża ciągłości działania i nie wymaga uruchomienia procedur obsługi kryzysowej. Tak więc, jeśli IRT jest w stanie przejąć kontrolę nad incydentem, powinien podjąć odpowiednie działania i zapewnić, że organizacja odzyskała sprawność po incydencie. Jeśli nie jest to możliwe, należy eskalować obsługę incydentów do obsługi kryzysowej.
Podobnie jak w poprzedniej fazie, standard wymaga, aby wszystkie działania IRT były odpowiednio rejestrowane, a wszystkie dowody incydentów były zebrane i odpowiednio zabezpieczone.
Ważną częścią tej fazy jest komunikacj. W poprzednich fazach nie była potrzebna komunikacja poza zespołem reagowania na incydenty. Jednakże podczas reagowania na incydent, właściwa komunikacja z IRT może mieć kluczowe znaczenie. ISO/IEC 27035 stwierdza, że taka komunikacja powinna odbywać się nie tylko wewnątrz organizacji, ale także być skierowana do wszystkich stron zainteresowanych, które muszą być zaangażowane do prawidłowego zarządzania incydentem.
Wyciąganie wniosków
Ta faza służy ciągłej poprawie bezpieczeństwa. Każdy incydent, po jego zamknięciu musi zostać wykorzystany, aby wyciągnąć z niego wnioski i poprawić:
Organizacja może również zdecydować o podzieleniu się wyciągniętymi wnioskami z innymi organizacjami lub społecznością zajmującą się bezpieczeństwem.
Zaletą ISO/IEC 27035 jest fakt, że nie tylko nakreśla i uszczegóławia podejście do zarządzania incydentami, pozwalając organizacji na pełne planowanie i realizację tego zarządzania, ale podejmuje także działania prewencyjne.
Do głównych zalet wdrożenia wytycznych należą:
Niektóre z tych korzyści są oczywiste dla praktyków cyberbezpieczeństwa. Ważne jest, by zauważyć jak mocno zarządzanie incydentami cybernetycznymi jest powiązane z innymi działaniami organizacji. Może je znacznie wspomóc, usprawniając jednocześnie realizację celów biznesowych organizacji.