Комплексное управление инцидентами и уязвимостями информационной безопасности в Directum RX

Инцидент, уязвимость, нарушение: три сущности одного процесса

Чтобы управлять безопасностью системно, нужно для начала договориться о терминах. В повседневной работе слова «инцидент» и «уязвимость» часто используют как синонимы. На практике это разные сущности, каждая из которых имеет собственный жизненный цикл, но при этом между ними может существовать прямая связь.

Инцидент информационной безопасности – это объект процесса реагирования, который регистрируется, классифицируется, анализируется и обрабатывается специалистами ИБ. Это может быть как подтверждённое событие (угроза реализовалась: кто-то получил несанкционированный доступ, данные утекли, серверы зашифрованы), так и событие, требующее проверки и классификации. Инцидент требует реагирования - расследования, локализации, устранения последствий.

Уязвимость - слабое место в программном обеспечении, информационной системе или её компонентах, которое потенциально может быть использовано для реализации угрозы безопасности. Сведения об известных уязвимостях могут поступать из внешних источников, в том числе из БДУ ФСТЭК России.

При этом наличие информации об уязвимости ещё не означает, что она присутствует в инфраструктуре конкретной организации. Для этого необходимы данные средств мониторинга и анализа защищённости.

Нарушение требований по защите информации – выявленное несоответствие установленным требованиям безопасности, которое необходимо проанализировать и взять под контроль. Одним из оснований для его регистрации может быть обнаружение известной уязвимости на конкретном активе.

Например, средство мониторинга обнаруживает на сервере уязвимое программное обеспечение. Полученные технические данные сопоставляются со сведениями об известной уязвимости. После этого специалист ИБ получает уже не просто техническое событие, а объект организационного контроля: необходимо оценить проблему, определить дальнейшие действия и проконтролировать её устранение.

Нарушение при этом не является обязательной стадией возникновения инцидента. Инцидент может быть зарегистрирован самостоятельно – например, по результатам мониторинга, сообщения сотрудника или другой информации о событии ИБ. И наоборот, выявленное нарушение может быть устранено без возникновения инцидента.

Простой пример: уязвимость – это незапертая дверь. Нарушение – это запись в журнале, что дверь не заперта уже три дня. Инцидент – это когда кто-то вошёл через неё и что-то украл.

Почему важно разделять и связывать:

• Уязвимости требуют учёта и анализа – необходимо понимать, какие известные слабые места существуют и насколько они актуальны для инфраструктуры организации.
• Нарушения требуют контроля - необходимо определить, что именно выявлено, где обнаружена проблема, кто отвечает за её обработку и какие действия необходимо выполнить.
• Инциденты требуют оперативного реагирования - анализа ситуации, принятия необходимых мер, координации участников и контроля результатов.

Поэтому задача комплексного управления ИБ состоит не в том, чтобы объединить уязвимость, нарушение и инцидент в одну сущность, а в том, чтобы обеспечить между ними прослеживаемость там, где такая связь действительно существует.

Как это работает в едином процессе

Сведения об известных уязвимостях поступают из внешних источников и формируют базу для анализа. 

• Средства мониторинга и анализа защищённости выявляют наличие уязвимости на конкретном активе. 
• Выявленная проблема становится предметом контроля со стороны специалиста ИБ. 
• Определяются ответственный, необходимые действия и сроки. 
• При необходимости формируется мероприятие по устранению проблемы. 
• Если выявленное событие требует отдельного расследования и реагирования, регистрируется инцидент информационной безопасности.

Коротко о главном: специализированные средства ИБ отвечают за техническое обнаружение и анализ событий, а Directum RX помогает организовать дальнейшую работу с полученной информацией – связать её с ответственными, мероприятиями и процессами реагирования, обеспечить контроль выполнения и сохранить историю принятых решений.

Семь этапов контролируемого процесса обработки инцидента

Работа с инцидентом не заканчивается его регистрацией. После получения информации о событии необходимо определить, действительно ли оно относится к инцидентам информационной безопасности, оценить его значимость, организовать реагирование, проконтролировать необходимые действия и зафиксировать результат.

Конкретный порядок обработки зависит от характера инцидента и внутренних регламентов организации. В общем виде процесс можно представить как последовательность этапов, на которых Directum RX обеспечивает организационную координацию участников, фиксацию решений и контроль выполнения действий.

Этап 1. Регистрация инцидента

Информация об инциденте может поступить из различных источников:

• средств мониторинга и защиты информации; 
• внутренних информационных систем; 
• от сотрудников; 
• по результатам проверки; 
• из внешних источников. 

Инцидент также может быть зарегистрирован специалистом ИБ вручную.

При регистрации фиксируются основные сведения о событии: источник, дата обнаружения, информационная система и актив, описание, уровень опасности и ответственный.

Что даёт Directum RX: сведения об инциденте попадают в единый организационный процесс, где можно определить ответственного и продолжить его обработку независимо от того, из какого технического источника была получена первоначальная информация.

Этап 2. Анализ и классификация

После регистрации специалист ИБ анализирует событие и уточняет его характеристики:

• действительно ли событие является инцидентом; 
• какие информационные системы и активы затронуты; 
• каков уровень опасности; 
• каковы возможные последствия; 
• какие специалисты должны участвовать в дальнейшей работе. 

На этом этапе инцидент переводится в работу и начинается его расследование.

Важно: Directum RX не заменяет SIEM, EDR и другие специализированные инструменты технического анализа. Технические сведения могут изучаться во внешних системах, а в Directum RX фиксируются результаты анализа и решения, необходимые для управления дальнейшим процессом.

Этап 3. Расследование

На этапе расследования уточняются обстоятельства возникновения инцидента, его причины и последствия.

Специалисты могут анализировать данные средств мониторинга, журналы событий, сведения об активах и другую техническую информацию. При наличии связанных нарушений они также учитываются при анализе инцидента.

В Directum RX для этого предусмотрены сведения об описании инцидента, фактических и потенциальных последствиях, связанных нарушениях и материалах источника.

Что даёт Directum RX: результаты работы не остаются только в переписке или в интерфейсе технического средства – они становятся частью управляемой карточки инцидента.

Этап 4. Реагирование

После анализа определяются необходимые действия по реагированию.

Это могут быть технические или организационные меры: локализация проблемы, изменение конфигурации, ограничение доступа, устранение последствий или другие действия, определённые специалистами ИБ.

Сами технические действия выполняются в соответствующих информационных системах и средствах защиты.

Directum RX обеспечивает организационную часть: можно назначить исполнителя, зафиксировать принятые меры реагирования и контролировать дальнейшую работу с инцидентом.

Этап 5. Корректирующие мероприятия

Не каждый инцидент заканчивается выполнением оперативных действий.

По результатам расследования может потребоваться:

• устранить выявленную причину; 
• изменить организационный процесс; 
• провести дополнительную проверку; 
• изменить настройки или средства защиты; 
• актуализировать внутренние документы; 
• провести обучение сотрудников; 
• выполнить другие корректирующие действия. 

Для таких задач в решении используется «Мероприятие по ИБ».

Мероприятие содержит ответственного, срок исполнения, категорию, приоритет и результат выполнения и может быть связано с инцидентом. 

Таким образом, выводы по инциденту не остаются просто рекомендациями – они могут быть переведены в конкретные контролируемые действия.

Этап 6. Контроль результатов

После выполнения необходимых действий специалист ИБ должен убедиться, что получен требуемый результат.

В рамках процесса контролируются состояние инцидента, выполнение связанных мероприятий и результаты принятых мер.

Если работа завершена, инцидент передаётся на приёмку. Если результат недостаточен, могут потребоваться дополнительные действия.

Так появляется управляемый цикл:

инцидент 🡪 анализ  🡪 решение 🡪 действие 🡪 контроль результата.

Этап 7. Завершение инцидента

На завершающем этапе фиксируется итоговое решение по инциденту и формируется заключение.

В карточке сохраняются:

• причины и обстоятельства инцидента; 
• затронутые информационные системы и активы; 
• последствия; 
• принятые меры реагирования; 
• связанные нарушения; 
• результаты выполненных действий; 
• итоговое заключение. 

После этого инцидент может быть закрыт.

Накопленная информация остаётся доступной для последующего анализа, отчётности и совершенствования процессов информационной безопасности.

Что обеспечивает контролируемость процесса

Directum RX не выполняет за специалиста техническое расследование и не заменяет специализированные средства реагирования.

Его задача – обеспечить управляемость организационной части процесса:

• единая карточка инцидента; 
• понятное состояние обработки; 
• ответственный и исполнитель; 
• связь с информационной системой и активами; 
• связанные нарушения; 
• фиксация принятых мер; 
• связанные мероприятия; 
• контроль результата; 
• история работы с инцидентом. 

Коротко о главном: технические средства помогают понять, что происходит в инфраструктуре. Directum RX позволяет организовать, что необходимо сделать после обнаружения инцидента, кто за это отвечает и каким результатом завершилась работа.

Нарушения требований по защите информации: отдельный объект контроля

Уязвимость, нарушение и инцидент могут быть связаны между собой, но каждый из этих объектов решает свою задачу.

Сведения об уязвимости показывают, какая потенциальная слабость известна. Инцидент фиксирует событие информационной безопасности, требующее расследования и реагирования. Нарушение позволяет организовать работу с выявленным несоответствием требованиям защиты информации и проконтролировать дальнейшие действия.

При этом источники нарушений могут быть разными. Они могут выявляться средствами мониторинга и защиты информации, в ходе проверок и аудитов или непосредственно специалистами ИБ.

Главная задача учёта нарушений – не просто зарегистрировать проблему, а обеспечить её дальнейшую контролируемую обработку: определить ответственного, необходимые действия, сроки и результат.

Как организована работа с нарушением

После выявления нарушения специалисту ИБ необходимо проанализировать полученную информацию и определить дальнейший порядок работы.

В зависимости от характера нарушения необходимо установить:

• где выявлена проблема; 
• с какой информационной системой или активом она связана; 
• какое требование не выполняется; 
• насколько критично выявленное несоответствие; 
• кто отвечает за дальнейшие действия; 
• что необходимо сделать для устранения проблемы. 

После анализа определяются ответственный и необходимые корректирующие действия. Если для устранения нарушения требуется отдельная работа, может быть сформировано мероприятие по ИБ.

Таким образом, нарушение становится самостоятельным объектом контроля:

выявление → анализ → решение → устранение → контроль результата.

Такой подход позволяет не терять выявленные проблемы после первоначального анализа и контролировать работу с ними до получения результата.

Как связаны уязвимость, нарушение и инцидент в едином процессе

Один из возможных источников нарушения – информация об обнаружении известной уязвимости на конкретном активе.

Сведения об известных уязвимостях могут поступать из внешних источников, например из БДУ ФСТЭК России. Однако наличие записи об уязвимости во внешней базе ещё не означает, что эта уязвимость присутствует в инфраструктуре конкретной организации.

Для этого необходимы данные средств мониторинга, анализа защищённости или результаты проверки.

Например:

БДУ ФСТЭК содержит сведения об известной уязвимости → средство мониторинга обнаруживает соответствующую проблему на конкретном сервере → информация поступает специалисту ИБ → регистрируется нарушение → определяются ответственный и необходимые действия → контролируется устранение проблемы.

В этом сценарии уязвимость и нарушение выполняют разные функции.

Уязвимость содержит сведения об известной слабости.

Нарушение фиксирует выявленную проблему в конкретном контексте организации и позволяет организовать работу по её устранению.

При этом нарушение не является обязательной стадией возникновения инцидента.

Если выявленная проблема устранена и события информационной безопасности не произошло, нарушение может быть закрыто без регистрации инцидента.

Если в ходе анализа установлено событие информационной безопасности, требующее отдельного расследования и реагирования, нарушение может быть связано с инцидентом.

Возможна и обратная ситуация – сначала регистрируется инцидент, а уже в ходе его расследования выявляются связанные нарушения требований по защите информации.

Поэтому обязательной последовательности: уязвимость → нарушение → инцидент

не существует.

Связи между этими объектами отражаются только тогда, когда они действительно существуют.

Мероприятия по устранению нарушений

Регистрация нарушения сама по себе проблему не решает. После анализа необходимо определить, какие действия позволят устранить выявленное несоответствие.

В зависимости от ситуации может потребоваться:

• обновить программное обеспечение; 
• изменить настройки информационной системы; 
• скорректировать права доступа; 
• изменить конфигурацию средства защиты; 
• актуализировать внутренний документ; 
• провести дополнительную проверку; 
• организовать обучение сотрудников; 
• выполнить другие корректирующие действия. 

Если требуется отдельный комплекс действий, в решении может быть создано «Мероприятие по ИБ».

Мероприятие позволяет определить необходимые действия, ответственного, срок выполнения и зафиксировать полученный результат.

Таким образом, появляется контролируемая связь:

нарушение → решение специалиста → мероприятие → выполнение → результат.

При этом создание отдельного мероприятия не является обязательным для каждого нарушения. Необходимость и способ устранения определяются исходя из характера выявленной проблемы.

Как Directum RX помогает контролировать нарушения

Средства мониторинга, анализа защищённости и другие специализированные инструменты помогают обнаружить техническую проблему. Но после обнаружения необходимо организовать дальнейшую работу с ней.

Задача Directum RX на этом этапе – обеспечить управляемость организационного процесса.

В решении можно зафиксировать нарушение, определить его критичность и ответственного, связать его с другими объектами ИБ и контролировать дальнейшие действия.

Специалисту ИБ становится доступен связанный контекст:

• что выявлено; 
• где выявлено; 
• с какой информационной системой или активом связана проблема; 
• кто отвечает за дальнейшие действия; 
• какие мероприятия назначены; 
• какой результат получен; 
• связано ли нарушение с инцидентом. 

Это позволяет перейти от перечня обнаруженных проблем к контролируемому процессу:

что выявлено → где выявлено → кто отвечает → что необходимо сделать → что выполнено → какой получен результат.

История работы с нарушениями также сохраняет информацию о принятых решениях и позволяет использовать накопленные данные при последующих проверках и анализе повторяющихся проблем.

Коротко о главном: нарушения требований по защите информации позволяют взять выявленную проблему под организационный контроль. Directum RX связывает нарушение с ответственными, информационными системами, мероприятиями и другими объектами ИБ и помогает проконтролировать работу от выявления проблемы до получения результата.

Пять признаков неконтролируемого процесса управления инцидентами

Даже если процессы формально выстроены, на практике информация об инцидентах часто оказывается распределена между электронными таблицами, почтой, мессенджерами и специализированными системами ИБ.

Само по себе использование разных систем не является проблемой. Средства мониторинга и защиты информации решают технические задачи, а Directum RX помогает организовать дальнейшую работу с полученной информацией.

Проблемы начинаются тогда, когда невозможно быстро определить, что произошло, кто отвечает за дальнейшие действия, на каком этапе находится работа и какой результат получен.

Вот пять признаков того, что ваш процесс управления инцидентами неконтролируем.

Признак 1. Данные разрознены - нет связанного контекста

Первичная информация об инциденте может находиться в средстве мониторинга, технические материалы – в специализированных системах, обсуждение – в электронной почте, а поручения исполнителям – в отдельных задачах.

В результате специалисту приходится самостоятельно собирать информацию из разных источников, чтобы восстановить общую картину.

К чему приводит:

• увеличивается время на поиск необходимой информации;
• результаты анализа и принятые решения могут оставаться в переписке;
• сложнее определить ответственных и выполненные действия;
• труднее восстановить историю работы с ранее зарегистрированным инцидентом.

Результат: информация существует, но не образует связанного организационного контекста, необходимого для управления процессом.

Directum RX позволяет связать инцидент с ответственными, информационными системами, активами, нарушениями и мероприятиями, не заменяя при этом специализированные средства ИБ.

Признак 2. Непонятно, на какой стадии находится работа

Инцидент зарегистрирован, но что с ним происходит дальше? Проведён ли анализ, определён ли ответственный, какие действия уже выполнены и можно ли завершать работу?

Если состояние обработки инцидента не отражается в системе, эту информацию приходится выяснять у участников процесса.

К чему приводит:

• сложно определить, какие инциденты требуют внимания;
• отдельные действия могут оставаться без контроля;
• руководителю сложнее оценить текущее состояние работы;
• участники процесса тратят время на дополнительное уточнение информации.

Результат: 

инцидент зарегистрирован, но процесс его обработки остаётся недостаточно прозрачным.

В контролируемом процессе состояние инцидента и результаты работы с ним фиксируются по мере выполнения необходимых действий.

Признак 3. Ответственные и действия не контролируются

После анализа инцидента необходимо определить дальнейшие действия и ответственных за их выполнение.

Часть действий может выполняться непосредственно в информационных системах и средствах защиты. Другие могут потребовать организационных решений, дополнительных проверок или отдельных мероприятий по ИБ.

Если такие действия остаются только в переписке или устных договорённостях, контролировать их выполнение становится значительно сложнее.

К чему приводит:

• непонятно, кто отвечает за конкретное действие;
• поручения могут оставаться без контроля;
• сложно определить, что уже выполнено;
• результаты работы фиксируются несистемно.

Результат: 

решение по инциденту принято, но его выполнение и полученный результат трудно проконтролировать.

Directum RX позволяет связать инцидент с ответственными, принятыми решениями и мероприятиями по ИБ, а затем зафиксировать результат выполненной работы.

Признак 4. История не фиксируется - каждый инцидент «с чистого листа»

После завершения работы важно сохранить не только сам факт возникновения инцидента, но и информацию о том, как организация с ним работала.

Какие обстоятельства были установлены? Какие решения принимались? Какие действия выполнялись? Какие нарушения были выявлены? Какие мероприятия назначались? Какой результат получен?

Если эти сведения остаются только в переписке и технических системах, спустя некоторое время восстановить ход работы становится значительно сложнее.

К чему приводит:

• трудно анализировать ранее обработанные инциденты;
• сложнее выявлять повторяющиеся проблемы;
• приходится заново искать основания ранее принятых решений;
• подготовка материалов для внутренних и внешних проверок требует дополнительного сбора информации.

Результат: 

Организация накапливает инциденты, но не накапливает полноценную историю работы с ними.

В Directum RX история и связанные объекты позволяют сохранить организационный контекст обработки инцидента и полученный результат.

Признак 5. Отчётность готовится вручную – это стресс и дни работы

Руководителю необходимо понимать, какие инциденты зарегистрированы, какие из них находятся в работе, какие нарушения выявлены и какие мероприятия выполняются.

Если сведения распределены между разными источниками, для подготовки отчётности их приходится дополнительно собирать и сопоставлять.

К чему приводит:

• увеличивается объём ручной работы;
• информацию приходится собирать из нескольких источников;
• сложнее поддерживать данные в актуальном состоянии;
• подготовка материалов для руководства и проверок занимает дополнительное время.

Результат: 

накопленные в процессе данные сложно оперативно использовать для контроля и отчётности.

Системный учёт инцидентов, нарушений и связанных мероприятий позволяет использовать накопленные сведения для формирования предусмотренной в решении отчётности.

Что общего у всех пяти признаков

Один корень - отсутствие единой автоматизированной платформы, которая обеспечивает контролируемость процесса.

SIEM, средства защиты, средства анализа защищённости и другие специализированные решения выполняют свои технические задачи. Они обнаруживают события, собирают технические данные и предоставляют специалистам информацию для анализа.

Но после обнаружения проблемы начинается организационная часть работы: необходимо зарегистрировать информацию, провести анализ, определить ответственного, принять решение, выполнить необходимые действия и проконтролировать результат.

Directum RX позволяет выстроить этот процесс:

Событие → регистрация → анализ → ответственный → решение → действие → контроль → результат.

При этом техническая информация может продолжать храниться и обрабатываться в специализированных системах. Directum RX не заменяет их, а обеспечивает организационный контур работы с полученной информацией.

История формируется на протяжении всего процесса и обеспечивает его прослеживаемость: можно восстановить, какие решения принимались, кто выполнял действия и какой результат был получен.

Коротко о главном: контролируемость процесса означает возможность в любой момент определить, что произошло, кто отвечает за дальнейшую работу, какие решения приняты, какие действия выполнены и какой результат получен.

Как выстроить контролируемый процесс управления инцидентами в Directum RX

Контролируемый процесс обработки инцидентов требует не только регистрации событий. Необходимо связать информацию об инциденте с участниками процесса, информационными системами и другими объектами ИБ, обеспечить выполнение необходимых действий, сохранить результаты и историю работы.

Directum RX становится организационным контуром этого процесса. Технические средства продолжают выполнять свои задачи по мониторингу, обнаружению и анализу событий, а в Directum RX организуется дальнейшая работа специалистов ИБ.

Связанный контекст вместо разрозненной информации

Необязательно переносить все технические данные из специализированных средств в одну систему. Важно, чтобы специалист ИБ мог работать с инцидентом в едином организационном контексте.

В решении используются связанные объекты:

• инциденты информационной безопасности; 
• нарушения требований по защите информации; 
• уязвимости безопасности информации; 
• информационные системы и активы; 
• мероприятия по ИБ; 
• средства защиты информации; 
• ответственные и исполнители. 

Связи между объектами позволяют перейти от отдельной карточки инцидента к информации, необходимой для его обработки.

Например, специалист может определить, с какой информационной системой связан инцидент, какие нарушения были выявлены, какие мероприятия назначены и кто отвечает за дальнейшие действия.

Что даёт на практике: информация из разных источников получает связанный организационный контекст, при этом Directum RX не подменяет специализированные технические системы.

Состояние процесса и ответственные

Для управления инцидентом необходимо понимать не только то, что он зарегистрирован, но и текущее состояние работы с ним.

В процессе обработки фиксируются ответственные участники, результаты анализа, принятые решения и дальнейшие действия.

Это позволяет специалисту и руководителю понимать:

• какие инциденты требуют внимания; 
• кто отвечает за дальнейшую работу; 
• какие действия уже выполнены; 
• какие мероприятия ещё выполняются; 
• какой результат получен.

Что даёт на практике: процесс становится прозрачным для участников, а состояние работы не приходится восстанавливать по переписке и отдельным поручениям.

Интеграции с источниками данных

Часть информации, необходимой для процессов ИБ, уже существует во внешних системах. Поэтому решение предусматривает интеграции с внешними источниками.

Сведения об известных уязвимостях могут загружаться из БДУ ФСТЭК России.

Данные о выявленных проблемах могут поступать от средств мониторинга и защиты информации. На их основании в Directum RX может быть организована дальнейшая работа с нарушениями требований по защите информации.

Таким образом, специализированные системы отвечают за техническое обнаружение и сбор данных, а Directum RX использует полученную информацию для запуска и ведения организационных процессов.

Что даёт на практике: специалисту не требуется выстраивать процесс ИБ непосредственно внутри каждого технического средства. Полученные данные могут использоваться в общем организационном контуре.

Связь инцидентов с мероприятиями по ИБ

По результатам анализа или расследования инцидента могут потребоваться дополнительные действия.

Например:

• изменение настроек; 
• устранение выявленной причины; 
• дополнительная проверка; 
• актуализация внутренних документов; 
• изменение организационного процесса; 
• обучение сотрудников; 
• другие корректирующие действия. 

Для такой работы в решении используется «Мероприятие по ИБ».

Инцидент и мероприятие могут быть связаны между собой, что позволяет перейти от результатов расследования к конкретным действиям, определить ответственного и проконтролировать результат.

Получается управляемая последовательность:

Инцидент → анализ → решение → мероприятие → выполнение → контроль → результат.

Что даёт на практике: результаты расследования не остаются только выводами в карточке или переписке, а могут быть переведены в контролируемые действия.

История и прослеживаемость

Важная часть контролируемого процесса – возможность восстановить ход работы с инцидентом.

В Directum RX сохраняется история работы с объектами, а связи между инцидентами, нарушениями, мероприятиями, информационными системами и другими объектами ИБ формируют дополнительный контекст.

Это позволяет понять:

• когда была зарегистрирована информация; 
• какие решения принимались; 
• кто участвовал в работе; 
• какие связанные объекты использовались; 
• какие мероприятия выполнялись; 
• каким результатом завершилась работа. 

История при этом не является отдельным этапом процесса. Она формируется по мере работы и обеспечивает его прослеживаемость.

Что даёт на практике информацию по завершённому инциденту можно использовать для последующего анализа, внутренних проверок и совершенствования процессов ИБ.

Контроль и отчётность

Накопленные в процессе сведения могут использоваться не только специалистами, непосредственно работающими с инцидентами, но и руководителями.

В решении предусмотрены отчёты по инцидентам и нарушениям, позволяющие использовать зарегистрированные данные для контроля состояния процессов ИБ.

Связанные мероприятия также отражаются в соответствующей отчётности по мероприятиям ИБ.

Это позволяет перейти от ручного сбора информации из отдельных таблиц и переписки к использованию данных, которые уже формируются в ходе работы.

Что дает на практике: руководитель получает инструмент контроля процессов, а специалистам не требуется каждый раз заново собирать организационную информацию по обработанным объектам.

Что в результате

Directum RX не заменяет SIEM, средства анализа защищённости, EDR и другие специализированные инструменты.

Их задача – обнаруживать события, собирать технические данные и предоставлять специалистам информацию для анализа.

Задача решения «Информационная безопасность» – организовать дальнейшую работу с этой информацией:

Что произошло → с чем связано → кто отвечает → какое решение принято → что необходимо сделать → что выполнено → какой результат получен.

Именно сочетание технических средств ИБ и управляемого организационного процесса позволяет сохранить прослеживаемость от обнаружения проблемы до результата работы.

Коротко о главном: Directum RX формирует организационный контур управления инцидентами, нарушениями и связанными мероприятиями, а специализированные средства ИБ продолжают выполнять технические функции мониторинга, обнаружения и анализа. Решить эти задачи помогает комплексное решение для управления ИБ на базе Directum RX .

Ручной подход vs контролируемый процесс: сравнение

При ручном подходе значительная часть организационной работы с инцидентами выполняется с помощью электронной почты, таблиц, отдельных задач и других разрозненных инструментов. Специалистам приходится самостоятельно собирать информацию, контролировать ответственных и восстанавливать историю принятых решений.

При использовании Directum RX технические средства ИБ продолжают выполнять свои специализированные функции, а организационная работа с полученной информацией переносится в контролируемый процесс.

Сравнительная таблица

Что означают эти цифры для ИБ-отдела

Сотрудники больше времени уделяют аналитике, а не рутинным операциям.

Информация об инцидентах, нарушениях и связанных действиях не требует постоянного восстановления из переписки и отдельных таблиц. Данные, которые уже были зафиксированы в процессе работы, остаются доступными для дальнейшего использования.

Появляется прослеживаемость.

Можно восстановить связь между выявленной проблемой, информационной системой или активом, ответственным, принятым решением, выполненными действиями и полученным результатом.

Руководителю проще контролировать работу.

Для понимания текущей ситуации не требуется каждый раз запрашивать информацию у специалистов. Зарегистрированные объекты ИБ и результаты работы с ними формируют основу для контроля и отчётности.

Результаты работы не теряются после закрытия инцидента.

Накопленная информация может использоваться при анализе повторяющихся проблем, проведении проверок и планировании последующих мероприятий по ИБ.

Технические и организационные процессы остаются разделены.

SIEM, EDR, средства анализа защищённости и другие специализированные системы продолжают выполнять технические функции. Directum RX обеспечивает организационную часть процесса – работу с ответственными, решениями, мероприятиями и результатами.

В чём основной эффект

Переход от ручного подхода к контролируемому процессу не означает перенос всех функций информационной безопасности в Directum RX. Меняется прежде всего организация работы.

Вместо разрозненной последовательности:

Событие → письмо → таблица → поручение → переписка → ручной поиск результата

формируется контролируемый процесс:

Событие → регистрация → анализ → ответственный → решение → действие → контроль → результат.

При этом история работы формируется на протяжении всего процесса и обеспечивает его прослеживаемость.

Коротко о главном: переход к контролируемому процессу помогает сократить объём ручной организационной работы, сохранить контекст обработки инцидентов и сделать действия специалистов ИБ более прозрачными для контроля. Directum RX при этом не заменяет специализированные средства ИБ, а дополняет их организационным контуром управления процессами.

Что вы получите, внедрив контролируемый процесс управления инцидентами на базе Directum RX

Основной результат внедрения – переход от разрозненной организационной работы с инцидентами к контролируемому процессу, в котором определены ответственные, фиксируются решения и действия, сохраняется история и контролируется результат.

При этом Directum RX не заменяет специализированные средства информационной безопасности. Решение дополняет их организационным контуром, в котором специалисты ИБ работают с полученной информацией.

Ключевые результаты внедрения

Что меняется в работе ИБ-отдела

1. Появляется единый организационный контекст.

Специалист работает не только с записью об инциденте, но и видит связанные информационные системы, активы, нарушения, мероприятия и ответственных.

При этом технические данные могут продолжать находиться в специализированных средствах ИБ.

2. Ответственность становится прозрачным.

По инциденту можно определить ответственных участников и понять, какие действия необходимо выполнить.

Это снижает зависимость процесса от переписки и устных договорённостей.

3. Решения переходят в контролируемые действия.

Если по результатам анализа или расследования необходимо выполнить дополнительные действия, они могут быть оформлены как мероприятия по ИБ.

Так можно контролировать не только факт регистрации инцидента, но и выполнение решений, принятых по результатам работы с ним.

4. Сохраняется результат работы.

После завершения обработки остаётся информация о том, что произошло, какие решения были приняты, какие действия выполнены и какой результат получен.

Эти сведения можно использовать при последующем анализе, работе с повторяющимися проблемами и проведении проверок.

5. Руководитель получает основу для контроля.

Накопленные в процессе данные позволяют оценивать состояние работы с инцидентами, нарушениями и мероприятиями без необходимости каждый раз собирать организационную информацию вручную.

От регистрации события до результата

Ценность автоматизации заключается не только в том, чтобы перенести существующий журнал инцидентов из Excel в Directum RX. Задача – выстроить связанный процесс работы:

Событие → регистрация → анализ → ответственный → решение → действие → контроль → результат.

История формируется на протяжении всего процесса и позволяет восстановить, как организация работала с инцидентом и какие решения принимались.

Технические средства при этом продолжают отвечать за обнаружение, сбор и анализ технических данных, а Directum RX помогает организовать дальнейшие действия участников процесса.

Коротко о главном: внедрение решения позволяет сделать организационную работу с инцидентами контролируемой и прослеживаемой – от регистрации информации и назначения ответственных до выполнения необходимых действий и фиксации результата.

Следующие шаги: как перейти от хаоса к контролируемому процессу

Если вы узнали себя в описанных признаках неконтролируемого процесса - пришло время действовать.

Шаг 1. Проведите анализ текущих процессов управления инцидентами

Оцените, как сейчас устроено управление инцидентами и уязвимостями: где регистрируются инциденты, как фиксируются нарушения, как контролируются сроки, как готовятся отчёты.

Результат: вы увидите «узкие горлышки» и поймёте, на чём теряется время.

Шаг 2. Сформулируйте требования к контролируемому процессу

На основе анализа определите, что должно измениться: какие объекты и процессы необходимо учитывать в Directum RX, какие связи между ними нужны, как должны назначаться ответственные, контролироваться действия и результаты, какие данные необходимо получать из внешних источников и какая отчётность требуется.

Результат: требования к автоматизации организационных процессов ИБ с учётом существующих технических средств и процессов организации.

Шаг 3. Запросите демонстрацию решения

Посмотрите, как Directum RX работает в реальных сценариях. Мы покажем регистрацию и обработку инцидентов, работу с нарушениями, связи между объектами ИБ, мероприятия, контроль результатов, отчёты и получение данных из внешних источников. При необходимости, демонстрацию можно провести на сценариях, характерных именно для вашей организации.

Результат: вы увидите, какие задачи закрывает существующая функциональность решения и какие возможности могут потребовать настройки или дополнительной интеграции.

Шаг 4. Запустите пилотный проект

Начните с одного процесса - например, с учёта нарушений или обработки инцидентов. Проверьте работу решения на ограниченном наборе реальных сценариев.

Результат: вы сможете оценить, насколько выбранная модель соответствует вашим процессам, и определить необходимые настройки перед промышленным внедрением.

Шаг 5. Внедрите систему в промышленную эксплуатацию

Разверните решение на всю организацию: настройте процессы, роли и права доступа, необходимые интеграции и отчётность, перенесите исходные данные и обучите пользователей.

Результат: организационные процессы управления инцидентами, нарушениями и связанными мероприятиями переведены в контролируемый контур на базе Directum RX, а специализированные средства ИБ продолжают выполнять свои технические функции.

Почему «Центр внедрения документооборота»

Мы помогаем выстроить системный процесс управления информационной безопасностью на базе Directum RX.

1. Экспертиза в Directum RX

Мы специализируемся на Directum RX с 2015 года. Знаем возможности, ограничения и лучшие практики. Наше решение «Информационная безопасность» – это органичное расширение платформы.

2. Комплексный подход, а не точечное внедрение

Мы настраиваем справочники, интегрируем с SIEM-системами (на текущий момент реализована интеграция с Wazuh, другие SIEM-системы - под требования заказчика), настраиваем импорт из БДУ ФСТЭК, интеграцию с LMS-платформами и инструментами симуляции фишинга, обучаем сотрудников и сопровождаем после внедрения.

Результат: работающий процесс, встроенный в вашу организацию.

3. Поддержка российских регуляторных требований

Мы знаем требования ФСТЭК, 152-ФЗ, 187-ФЗ. Мы внедряли решения под них. Встроенные шаблоны отчётов, настройка под конкретного регулятора. Регулятор увидит систематизированные процессы контроля и подготовку подтверждающих материалов по выполнению применимых требований информационной безопасности.

Результат: систематизация процессов контроля и подготовка подтверждающих материалов по выполнению требований ИБ.

4. Гибкость и настройка

Справочники, роли и другие параметры решения могут настраиваться с учётом процессов конкретной организации. Изменение бизнес-логики, маршрутов и отдельных сценариев может потребовать дополнительной настройки или разработки.

Это позволяет адаптировать решение под принятую терминологию, организационную структуру и особенности процессов ИБ.

Результат: Решение адаптируется под процессы и требования конкретной организации.

5. Опыт внедрения в компаниях разных отраслей

Проекты в финансовом секторе, промышленности, ритейле и госсекторе позволяют учитывать отраслевые особенности и использовать накопленную экспертизу при проектировании процессов.

Запишитесь на демонстрацию решения уже сегодня

Мы разобрали ключевые аспекты управления инцидентами и уязвимостями: чем инцидент отличается от уязвимости, как устроен жизненный цикл инцидента, какую роль играют нарушения требований по защите информации, как выстроить контролируемый процесс и как автоматизация на базе Directum RX помогает в решении этих задач.

Главный вывод: эффективное управление инцидентами и уязвимостями – это не техническое обнаружение и реагирование. Необходимо организовать дальнейшую работу: определить ответственных, принять решения, выполнить необходимые действия, проконтролировать их и зафиксировать результат.

Специализированные средства ИБ обеспечивают техническую часть этого процесса, а Directum RX помогает организовать его организационную составляющую.

Что вы получите, внедрив решение

• Контролируемый процесс – понятно, что произошло, кто отвечает за дальнейшие действия и на каком этапе находится работа. 
• Прослеживаемость – инциденты, нарушения, информационные системы, активы и мероприятия могут быть связаны между собой там, где такая связь действительно существует. 
• Контроль результата – принятые решения и связанные мероприятия не остаются только в переписке, а их выполнение и результаты фиксируются в процессе. 
• Прозрачность для руководства – накопленные данные позволяют контролировать состояние процессов и использовать их для отчётности. 
• Систематизация материалов для проверок – информация о процессах, объектах и результатах работы сохраняется и может использоваться при подготовке подтверждающих материалов. 
• Меньше организационной рутины – специалисты могут использовать уже накопленные в процессе данные вместо повторного сбора информации из разных источников. 

Как мы можем помочь

1. Проведём анализ ваших текущих процессов управления инцидентами и уязвимостями - покажем «узкие горлышки» и точки роста.
2. Покажем демонстрацию решения на ваших сценариях - увидите, как система работает в реальных условиях.
3. Настроим пилотный проект на тестовом контуре - вы сможете проверить выбранные процессы и определить необходимые настройки.
4. Внедрим систему в промышленную эксплуатацию - с настройкой, интеграциями, переносом необходимых данных и обучением пользователей.

Свяжитесь с нами

Готовы навести порядок в управлении инцидентами и уязвимостями?

Телефон: +7 (499) 703-35-27
Email: cvd@centrvd.ru

Или оставьте заявку на сайте - мы перезвоним вам в течение 15 минут.