Стандарт ПС "Мир". Порядок обработки инцидентов ИБ Участником

3.1.1. Участник ПС «Мир» обязан обеспечивать мониторинг и выявление инцидентов ИБ в своей инфраструктуре, в привлеченных Участником организациях, а также в привлеченных организациях второго уровня.

3.2.1. Участник в течение 24 часов после того, как ему стало известно о предполагаемом инциденте ИБ на своей стороне, на стороне привлеченной им организации или в привлеченной организации второго уровня, должен уведомить об этом АО «НСПК».

3.2.2. Уведомление выполняется путем создания заявки в проекте «Программа безопасности» на Портале. К заявке должна быть приложена заполненная форма уведомления об предполагаемом инциденте ИБ, которая доступна в разделе «Документы» в соответствующем проекте Портала. Участником должна быть заполнена форма уведомления, соответствующая типу организации, затронутой предполагаемым инцидентом ИБ. Если у Участника отсутствует доступ к Порталу, то Участник должен уведомить АО «НСПК» об инциденте ИБ по электронной почте, направив письмо с информацией о предполагаемом инциденте ИБ на адрес mirsecurity@nspk.ru.

3.2.3. После получения АО «НСПК» уведомления о предполагаемом инциденте ИБ АО «НСПК» в течение этапа оперативного реагирования и этапа расследования в рабочем порядке взаимодействует с представителями Участника по вопросам обработки инцидента ИБ и выполнения действий по скомпрометированным картам ПС «Мир».

3.3.2. Если предполагаемый инцидент ИБ произошел на стороне привлеченной Участником организации или привлеченной организации второго уровня, ответственность за расследование инцидента ИБ возлагается на Участника. Участник должен поручить организации, которую затронул инцидент ИБ, выполнить расследование самостоятельно, либо привлечь стороннюю организацию, которая специализируется на расследованиях, либо провести расследование собственными силами. АО «НСПК» оставляет за собой право обязать Участника привлечь для проведения расследования стороннюю организацию, которая специализируется на расследованиях инцидентов ИБ. Расходы, связанные с привлечением сторонней организации для проведения расследования инцидента ИБ на стороне привлеченной Участником организации, несет Участник или организация, затронутая инцидентом ИБ.

3.3.3. По итогам расследования Участником формируется предварительный отчет о предполагаемом инциденте ИБ. Шаблон предварительного отчета доступен в разделе «Документы» в соответствующем проекте Портала.

3.3.4. Участник обязан предоставить через Портал в АО «НСПК» предварительный отчет в формате doc, docx или pdf в течение 5 рабочих дней со дня предоставления уведомления о предполагаемом инциденте ИБ. Участник должен создать задачу в проекте «Программа безопасности» и приложить к ней заполненный предварительный отчет, который должен в т.ч. содержать вывод оподтверждении или не подтверждении инцидента ИБ.

3.3.6. Если в ходе расследования предполагаемого инцидента ИБ Участнику стала известна информация о компрометации (или подозрении на компрометацию) карт ПС «Мир» или об устройствах, в которых произошла компрометация (или в отношении которых имеется подозрение на компрометацию), то информация о таких картах и устройствах передается вместе с отчетом. Требования к формату и содержимому файла с информацией о картах описаны в Шаблоне предварительного отчета.

3.3.7. Если предполагаемый инцидент ИБ не подтвердился, то выполняется закрытие инцидента ИБ согласно действующей регламентной документации Участника.

3.3.8. Если предполагаемый инцидент ИБ подтвердился, то в течение 20 рабочих дней со дня предоставления предварительного отчета Участник должен подготовить финальный отчет по установленной форме. Шаблон финального отчета доступен в разделе «Документы» в соответствующем проекте Портала.

3.3.9. Финальный отчет передается Участником АО «НСПК» через Портал в формате doc, docx или pdf в течение 20 рабочих дней со дня представления предварительного отчета. Участник должен создать задачу в проекте «Программа безопасности» и приложить к ней заполненный финальный отчет.