Przejdź do głównej zawartości

5.27 Wyciąganie wniosków z incydentów bezpieczeństwa informacji

W skrócie: po incydencie organizacja analizuje, co się stało i dlaczego, a wnioski zamienia w poprawki zabezpieczeń, procedur i szkoleń.

Cel: zmniejszenie prawdopodobieństwa lub skutków przyszłych incydentów.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Identify (identyfikacja), #Protect (ochrona)
Zdolności operacyjne#Information_security_event_management (zarządzanie zdarzeniami bezpieczeństwa informacji)
Domeny bezpieczeństwa#Defence (obrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja ustanawia procedury pozwalające mierzyć i monitorować rodzaje, skalę i koszty incydentów.
  • Informacje z oceny incydentów wykorzystuje się do ulepszenia planu zarządzania incydentami, w tym scenariuszy i procedur.
  • Wnioski służą identyfikacji incydentów powtarzających się lub poważnych i ich przyczyn, aby zaktualizować ocenę ryzyka i dobrać dodatkowe zabezpieczenia.
  • Wiedzę z incydentów wykorzystuje się w szkoleniach i budowaniu świadomości (6.3), np. jako przykłady, jak reagować i jak unikać podobnych sytuacji.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Przegląd po incydencie (post-mortem) bez szukania winnych, z konkretnymi zadaniami, właścicielami i terminami.
  • Wskaźniki: średni czas wykrycia (MTTD) i reakcji (MTTR), liczba incydentów z tej samej przyczyny.
  • Anonimizowane studia przypadków z własnych incydentów w szkoleniach — działają lepiej niż przykłady z cudzych firm.

Powiązania​