Przejdź do głównej zawartości

5.25 Ocena zdarzeń bezpieczeństwa informacji i decyzja

W skrócie: każde zgłoszone zdarzenie jest oceniane według ustalonych kryteriów i ktoś decyduje, czy to incydent i jaki ma priorytet.

Cel: skuteczna kategoryzacja i priorytetyzacja zdarzeń bezpieczeństwa informacji.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Detective (wykrywające)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Detect (wykrywanie), #Respond (reagowanie)
Zdolności operacyjne#Information_security_event_management (zarządzanie zdarzeniami bezpieczeństwa informacji)
Domeny bezpieczeństwa#Defence (obrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja ustala schemat kategoryzacji i priorytetyzacji incydentów, z kryteriami pozwalającymi określić skutki i zakres.
  • Punkt kontaktowy ocenia każde zdarzenie według tego schematu i decyduje, czy jest ono incydentem.
  • Wyniki oceny i decyzję rejestruje się szczegółowo, aby można je było później zweryfikować i wykorzystać.
  • Nie każde zdarzenie jest incydentem — zdarzenie to sygnał, że coś może być nie tak; incydent to zdarzenie lub ich seria, które realnie mogą zaszkodzić organizacji.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Macierz priorytetów: wpływ (dane, systemy, liczba użytkowników) na pilność; z przykładami dla każdego poziomu, by ocena była powtarzalna.
  • Triage w SOC: pierwsza linia klasyfikuje alerty z SIEM, a eskalacja do drugiej linii ma jasne kryteria.
  • Osobna ścieżka oceny naruszeń ochrony danych osobowych — czy jest ryzyko dla osób i czy trzeba zgłosić do UODO.

Powiązania​