ISO/IEC 27035: როგორ ვაქციოთ კიბერინციდენტებზე რეაგირება მართვად პროცესად
კიბერინციდენტი იშვიათად იწყება დრამატული შეტყობინებით „თქვენი სისტემა გატეხილია“. უფრო ხშირად ეს არის უჩვეულო ავტორიზაცია, საეჭვო წერილი, მონაცემების მოულოდნელი გადაცემა ან თანამშრომლის საჩივარი კომპიუტერის უცნაურ ქცევაზე. ბიზნესისთვის მთავარი პრობლემა წარმოიქმნება არა მხოლოდ თავად ინციდენტის გამო, არამედ იმ კითხვაზე მკაფიო პასუხის არარსებობის გამოც: ვინ, რა და რა თანმიმდევრობით უნდა გააკეთოს.
ISO/IEC 27035 ხელს უწყობს, რომ კიბერინციდენტებზე რეაგირება იმპროვიზებული მოქმედებების ნაკრებიდან სტრუქტურირებულ მართვის პროცესად გარდაიქმნას. სტანდარტი აღწერს ინფორმაციული უსაფრთხოების ინციდენტებისადმი მომზადების, მათი გამოვლენის, შეფასების, რეაგირებისა და შემდგომი ანალიზის მიდგომას. ISO/IEC 27035-1:2023 განიხილავს ინციდენტების მართვის ძირითად პრინციპებსა და პროცესს, ხოლო ISO/IEC 27035-2:2023 ცალკე ყურადღებას უთმობს რეაგირებისთვის მზადებასა და მომხდარი მოვლენებიდან გაკვეთილების გამოტანას.
რატომ არ არის მხოლოდ ანტივირუსი საკმარისი
ტექნიკურ საშუალებებს მრავალი საფრთხის აღმოჩენა შეუძლიათ, მაგრამ ორგანიზაციულ საკითხებს დამოუკიდებლად ვერ გადაწყვეტენ. მაგალითად: საჭიროა თუ არა სერვერის გათიშვა, ვინ უნდა აცნობოს კლიენტს, როდის უნდა ჩაერთოს ხელმძღვანელობა, რომელი მტკიცებულებებია შესანარჩუნებელი და ვინ იღებს გადაწყვეტილებას სისტემის აღდგენის შესახებ.
სწორედ ამიტომ, ISO 27035-ის მიხედვით ინციდენტების მართვა ინფორმაციულ უსაფრთხოებას მხოლოდ IT-განყოფილების ამოცანად არ განიხილავს. პროცესში შეიძლება ჩაერთონ უსაფრთხოების სპეციალისტები, სისტემური ადმინისტრატორები, იურისტები, HR, PR, ხელმძღვანელობა და გარე კონტრაქტორები.
კომპანიისთვის მნიშვნელოვანია წინასწარ განსაზღვროს:
ინციდენტებზე რეაგირების გეგმა: რას უნდა მოიცავდეს ის
ინციდენტებზე რეაგირების პრაქტიკული გეგმა არ უნდა გადაიქცეს ასგვერდიან დოკუმენტად, რომელსაც არავინ ხსნის. მისი ამოცანაა თანამშრომლებს მოქმედებების მკაფიო ალგორითმი მისცეს.
ჩვეულებრივ, კომპანია განსაზღვრავს ინციდენტების კატეგორიებს, კრიტიკულობის დონეებს, პასუხისმგებელ პირებს, ესკალაციის არხებსა და აღდგენის წესს. ცალკე უნდა იყოს გათვალისწინებული ანგარიშების კომპრომეტაციასთან, მავნე პროგრამულ უზრუნველყოფასთან, ინფორმაციის გაჟონვასთან, სერვისების გათიშვასა და ღრუბლოვან ინფრასტრუქტურაზე შეტევებთან დაკავშირებული სიტუაციები.
ასევე სასარგებლოა წინასწარ განისაზღვროს გაზომვადი მაჩვენებლები: ინციდენტის აღმოჩენის დრო, რეაგირების დაწყების დრო, ლოკალიზაციის ხანგრძლივობა, განმეორებადი ინციდენტების რაოდენობა. ამ შემთხვევაში ხელმძღვანელობა ხედავს არა მხოლოდ პრობლემების რაოდენობას, არამედ იმასაც, რამდენად ეფექტიანად უმკლავდება მათ ორგანიზაცია.
როგორ უკავშირდება ISO/IEC 27035 ISO 27001-ს
ISO/IEC 27035 ლოგიკურად ავსებს ISO/IEC 27001-ის მიხედვით შექმნილ ინფორმაციული უსაფრთხოების მართვის სისტემას. ISO/IEC 27001 ადგენს მოთხოვნებს ინფორმაციული უსაფრთხოების მართვის სისტემის შექმნის, შენარჩუნებისა და მუდმივი გაუმჯობესებისთვის, რომელიც სხვადასხვა ზომისა და დარგის ორგანიზაციებზე ვრცელდება.
კომპანიებისთვის, რომლებიც განიხილავენ ISO 27001-ს საქართველოში, ინციდენტების მართვის მომწიფებული პროცესი უსაფრთხოების საერთო სისტემის ერთ-ერთი პრაქტიკული კომპონენტი ხდება. ეს განსაკუთრებით მნიშვნელოვანია იმ ორგანიზაციებისთვის, რომლებიც უცხოელ დამკვეთებთან და სენსიტიურ ინფორმაციასთან მუშაობენ.
ასეთი მიდგომა განსაკუთრებით მნიშვნელოვანია fintech და SaaS კომპანიებისთვის. მათთვის ერთმა ინციდენტმა შესაძლოა ერთდროულად იმოქმედოს სერვისის ხელმისაწვდომობაზე, კლიენტების პერსონალურ მონაცემებზე, სახელშეკრულებო ვალდებულებებსა და რეპუტაციაზე.
რით დავიწყოთ დანერგვა
პირველი ნაბიჯი შეიძლება იყოს ინფორმაციული უსაფრთხოების აუდიტი და რეაგირების არსებული წესის ანალიზი. ზოგჯერ ირკვევა, რომ ცალკეული ელემენტები უკვე მუშაობს: იწარმოება მოვლენების ჟურნალები, IT-გუნდმა იცის ტექნიკური ესკალაციის წესი, არსებობს სარეზერვო ასლები. თუმცა ეს ზომები შეიძლება ერთიან სისტემაში არ იყოს გაერთიანებული.
არსებული მდგომარეობის შეფასების შემდეგ შესაძლებელია როლების განსაზღვრა, პროცედურების შემუშავება, ინციდენტების რეგისტრაციის არხების გამართვა და თანამშრომლების სწავლება. არანაკლებ მნიშვნელოვანია პრაქტიკული წვრთნები. მონაცემთა პირობითი გაჟონვის სცენარით ჩატარებული სამაგიდო სავარჯიშო ხშირად სუსტ ადგილებს უფრო სწრაფად ავლენს, ვიდრე რეგლამენტების რამდენიმესაათიანი განხილვა.
უცხოურ ბაზარზე ორიენტირებულ კომპანიებს სისტემური მიდგომა ასევე ეხმარება, დამკვეთებს პროცესების სიმწიფე აჩვენონ. ამ კონტექსტის შესახებ მეტი შეგიძლიათ წაიკითხოთ მასალაში ISO 27001 საერთაშორისო კლიენტებისთვის.
ქაოსური რეაქციიდან კონტროლირებად პროცესამდე
ISO/IEC 27035-ის მთავარი იდეა მარტივია: შეუძლებელია იმის გარანტირება, რომ ინციდენტები არასოდეს მოხდება, თუმცა შესაძლებელია მათთვის წინასწარ მომზადება და შედეგების მნიშვნელოვნად შემცირება.
კომპანია Baltum Bureau ეხმარება საქართველოში მოქმედ კომპანიებს, შეაფასონ ინფორმაციული უსაფრთხოების არსებული პროცესები, ააწყონ მართვის სისტემა, მოამზადონ რეაგირების პროცედურები და დანერგონ ისინი ორგანიზაციის პრაქტიკაში.
როდესაც თანამშრომლებმა იციან საკუთარი როლები, ხელმძღვანელობა დროულ ინფორმაციას იღებს, ხოლო ყოველი სერიოზული ინციდენტი გაუმჯობესების წყარო ხდება, კიბერუსაფრთხოება აღარ არის დამოკიდებული ცალკეული სპეციალისტების გმირობაზე. ის მართვად ბიზნესპროცესად იქცევა — სწორედ ეს არის ISO/IEC 27035-ის ერთ-ერთი მთავარი მიზანი.
ISO/IEC 27035 ხელს უწყობს, რომ კიბერინციდენტებზე რეაგირება იმპროვიზებული მოქმედებების ნაკრებიდან სტრუქტურირებულ მართვის პროცესად გარდაიქმნას. სტანდარტი აღწერს ინფორმაციული უსაფრთხოების ინციდენტებისადმი მომზადების, მათი გამოვლენის, შეფასების, რეაგირებისა და შემდგომი ანალიზის მიდგომას. ISO/IEC 27035-1:2023 განიხილავს ინციდენტების მართვის ძირითად პრინციპებსა და პროცესს, ხოლო ISO/IEC 27035-2:2023 ცალკე ყურადღებას უთმობს რეაგირებისთვის მზადებასა და მომხდარი მოვლენებიდან გაკვეთილების გამოტანას.
რატომ არ არის მხოლოდ ანტივირუსი საკმარისი
ტექნიკურ საშუალებებს მრავალი საფრთხის აღმოჩენა შეუძლიათ, მაგრამ ორგანიზაციულ საკითხებს დამოუკიდებლად ვერ გადაწყვეტენ. მაგალითად: საჭიროა თუ არა სერვერის გათიშვა, ვინ უნდა აცნობოს კლიენტს, როდის უნდა ჩაერთოს ხელმძღვანელობა, რომელი მტკიცებულებებია შესანარჩუნებელი და ვინ იღებს გადაწყვეტილებას სისტემის აღდგენის შესახებ.
სწორედ ამიტომ, ISO 27035-ის მიხედვით ინციდენტების მართვა ინფორმაციულ უსაფრთხოებას მხოლოდ IT-განყოფილების ამოცანად არ განიხილავს. პროცესში შეიძლება ჩაერთონ უსაფრთხოების სპეციალისტები, სისტემური ადმინისტრატორები, იურისტები, HR, PR, ხელმძღვანელობა და გარე კონტრაქტორები.
კომპანიისთვის მნიშვნელოვანია წინასწარ განსაზღვროს:
- რომელი მოვლენები ითვლება ინფორმაციული უსაფრთხოების ინციდენტებად;
- ვინ იღებს და კლასიფიცირებს ინციდენტების შესახებ შეტყობინებებს;
- როგორ განისაზღვრება სიტუაციის კრიტიკულობა;
- ვინ არის პასუხისმგებელი შედეგების ლოკალიზებასა და აღმოფხვრაზე;
- როგორ ფიქსირდება მოქმედებები და ინახება მტკიცებულებები;
- როდის არის საჭირო კლიენტების, პარტნიორების ან სხვა დაინტერესებული მხარეების ინფორმირება;
- როგორ ტარდება მიზეზების ანალიზი ინციდენტის დასრულების შემდეგ.
ინციდენტებზე რეაგირების გეგმა: რას უნდა მოიცავდეს ის
ინციდენტებზე რეაგირების პრაქტიკული გეგმა არ უნდა გადაიქცეს ასგვერდიან დოკუმენტად, რომელსაც არავინ ხსნის. მისი ამოცანაა თანამშრომლებს მოქმედებების მკაფიო ალგორითმი მისცეს.
ჩვეულებრივ, კომპანია განსაზღვრავს ინციდენტების კატეგორიებს, კრიტიკულობის დონეებს, პასუხისმგებელ პირებს, ესკალაციის არხებსა და აღდგენის წესს. ცალკე უნდა იყოს გათვალისწინებული ანგარიშების კომპრომეტაციასთან, მავნე პროგრამულ უზრუნველყოფასთან, ინფორმაციის გაჟონვასთან, სერვისების გათიშვასა და ღრუბლოვან ინფრასტრუქტურაზე შეტევებთან დაკავშირებული სიტუაციები.
ასევე სასარგებლოა წინასწარ განისაზღვროს გაზომვადი მაჩვენებლები: ინციდენტის აღმოჩენის დრო, რეაგირების დაწყების დრო, ლოკალიზაციის ხანგრძლივობა, განმეორებადი ინციდენტების რაოდენობა. ამ შემთხვევაში ხელმძღვანელობა ხედავს არა მხოლოდ პრობლემების რაოდენობას, არამედ იმასაც, რამდენად ეფექტიანად უმკლავდება მათ ორგანიზაცია.
როგორ უკავშირდება ISO/IEC 27035 ISO 27001-ს
ISO/IEC 27035 ლოგიკურად ავსებს ISO/IEC 27001-ის მიხედვით შექმნილ ინფორმაციული უსაფრთხოების მართვის სისტემას. ISO/IEC 27001 ადგენს მოთხოვნებს ინფორმაციული უსაფრთხოების მართვის სისტემის შექმნის, შენარჩუნებისა და მუდმივი გაუმჯობესებისთვის, რომელიც სხვადასხვა ზომისა და დარგის ორგანიზაციებზე ვრცელდება.
კომპანიებისთვის, რომლებიც განიხილავენ ISO 27001-ს საქართველოში, ინციდენტების მართვის მომწიფებული პროცესი უსაფრთხოების საერთო სისტემის ერთ-ერთი პრაქტიკული კომპონენტი ხდება. ეს განსაკუთრებით მნიშვნელოვანია იმ ორგანიზაციებისთვის, რომლებიც უცხოელ დამკვეთებთან და სენსიტიურ ინფორმაციასთან მუშაობენ.
ასეთი მიდგომა განსაკუთრებით მნიშვნელოვანია fintech და SaaS კომპანიებისთვის. მათთვის ერთმა ინციდენტმა შესაძლოა ერთდროულად იმოქმედოს სერვისის ხელმისაწვდომობაზე, კლიენტების პერსონალურ მონაცემებზე, სახელშეკრულებო ვალდებულებებსა და რეპუტაციაზე.
რით დავიწყოთ დანერგვა
პირველი ნაბიჯი შეიძლება იყოს ინფორმაციული უსაფრთხოების აუდიტი და რეაგირების არსებული წესის ანალიზი. ზოგჯერ ირკვევა, რომ ცალკეული ელემენტები უკვე მუშაობს: იწარმოება მოვლენების ჟურნალები, IT-გუნდმა იცის ტექნიკური ესკალაციის წესი, არსებობს სარეზერვო ასლები. თუმცა ეს ზომები შეიძლება ერთიან სისტემაში არ იყოს გაერთიანებული.
არსებული მდგომარეობის შეფასების შემდეგ შესაძლებელია როლების განსაზღვრა, პროცედურების შემუშავება, ინციდენტების რეგისტრაციის არხების გამართვა და თანამშრომლების სწავლება. არანაკლებ მნიშვნელოვანია პრაქტიკული წვრთნები. მონაცემთა პირობითი გაჟონვის სცენარით ჩატარებული სამაგიდო სავარჯიშო ხშირად სუსტ ადგილებს უფრო სწრაფად ავლენს, ვიდრე რეგლამენტების რამდენიმესაათიანი განხილვა.
უცხოურ ბაზარზე ორიენტირებულ კომპანიებს სისტემური მიდგომა ასევე ეხმარება, დამკვეთებს პროცესების სიმწიფე აჩვენონ. ამ კონტექსტის შესახებ მეტი შეგიძლიათ წაიკითხოთ მასალაში ISO 27001 საერთაშორისო კლიენტებისთვის.
ქაოსური რეაქციიდან კონტროლირებად პროცესამდე
ISO/IEC 27035-ის მთავარი იდეა მარტივია: შეუძლებელია იმის გარანტირება, რომ ინციდენტები არასოდეს მოხდება, თუმცა შესაძლებელია მათთვის წინასწარ მომზადება და შედეგების მნიშვნელოვნად შემცირება.
კომპანია Baltum Bureau ეხმარება საქართველოში მოქმედ კომპანიებს, შეაფასონ ინფორმაციული უსაფრთხოების არსებული პროცესები, ააწყონ მართვის სისტემა, მოამზადონ რეაგირების პროცედურები და დანერგონ ისინი ორგანიზაციის პრაქტიკაში.
როდესაც თანამშრომლებმა იციან საკუთარი როლები, ხელმძღვანელობა დროულ ინფორმაციას იღებს, ხოლო ყოველი სერიოზული ინციდენტი გაუმჯობესების წყარო ხდება, კიბერუსაფრთხოება აღარ არის დამოკიდებული ცალკეული სპეციალისტების გმირობაზე. ის მართვად ბიზნესპროცესად იქცევა — სწორედ ეს არის ISO/IEC 27035-ის ერთ-ერთი მთავარი მიზანი.
