Инцидент ИБ VS Нарушение требований ИБ - Форум по вопросам информационной безопасности

Здравствуйте, уважаемые коллеги!

Правильно-ли я понимаю разницу в терминах (словосочетаниях) "Инцидент ИБ" и "Нарушение требований ИБ" ? Где "водораздел" между ними ? Только в том, что нарушение может быть выявлено как глазами (контроль), так и средствами автоматизации + у нарушения отсутствует временное ограничение, в том смысле, что нарушение можно выявить не так оперативно (в течение прошедшего времени после его совершения) как в случае с, например, программными средствами выявления инцидентов ИБ.

Инцидент ИБ - это больше в сторону сработки средств мониторинга, аудита и выявления техническими средствами событий БИ, способных нанести ущерб или создать предпосылки к таковому.

Нарушение требований ИБ - умышленные или неумышленные действия пользователя, выявленные в результате контроля или также средствами мониторинга, аудита.

"ГОСТы" пишут так:

Инцидент ИБ - это непредвиденное или нежелательное событие (группа событий) ИБ, которое привело (могут привести) к нарушению функционирования информационного ресурса или возникновению угроз безопасности информации или нарушению требований по защите информации (ГОСТ Р 59709-2022),

инцидент информационной безопасности (information security incident): Появление одного или нескольких нежелательных или неожиданных событий ИБ, с которыми связана значительная вероятность компрометации бизнес-операций и создания угрозы ИБ. (ГОСТ Р ИСО/МЭК ТО 18044-2007).

инцидент информационной безопасности: Любое непредвиденное или нежелательное
событие, которое может нарушить деятельность или информационную безопасность. (ГОСТ Р 53114-2008).

Может быть вообще это одно и тоже ? Только конечно в акте внутренней проверки будет странно звучать "В нарушение п. ... приказа ... не делалось то-то, что является инцидентом ИБ".

Заранее спасибо

Вы копаете в прикладную составляющую, а надо для начала суть разобрать...
imho, вне зависимости от того, что написано в ГОСТ, СМИБ и проч.:
- Инцидент ИБ - это Событие безопасности (т.е. событие, связанное с какой-либо Угрозой безопасности), повлекшее за собой какой-либо (пусть и минимальный, но не пренебрежительно малый) Ущерб.
- Нарушение требований ИБ - это состояние, при котором умышленно или неумышленно игнорируются Меры безопасности или иные положения Политики ИБ, призванные уменьшить вероятность или повысить сложность реализации Угроз безопасности или снизить Ущерб от их реализации. Что, соответственно, может привести к Инциденту ИБ.
В зависимости от Политики ИБ, принятой в конкретной организации (корпорации, холдинге, ведомстве, отрасли в целом) "Инцидент ИБ" может включать в себя "Нарушение требований ИБ", а может и не включать...

2 oko, спасибо Вам за подробное разъяснение)!

Вот я и готовлюсь к разработке Политики под приказ ФСТЭК № 117)

Всем Всего Самого хорошего)!

Кто первый разработает шаблоны документов по 117 может сказочно обогатиться.

2 Ikebot

Дак а шаблон не учитывает специфику, что так - что так, нужно будет для себя допиливать. Но полагаю текст 117-го+МД ФСТЭК+ожидаемые Меры защиты дадут достаточный объем для самостоятельного создания. + теории полно по "Общей части" Политики (в моём случае)

ту Око:
" - Инцидент ИБ - это Событие безопасности ..., повлекшее за собой какой-либо (пусть и минимальный, но не пренебрежительно малый) Ущерб. "

Совсем необязательно Инцидент ИБ должен приводить к ущербу (малому тоже).
Например, если зафиксированы множественные попытки неудачной авторизации - это уже является инцидентом ИБ, требующим разбирательства. Но ущерба от этого никакого нет.

В приведенном выше ГОСте в сообщении АБ так и написано:
Инцидент ИБ - это непредвиденное или нежелательное событие (группа событий) ИБ, которое привело (МОГУТ ПРИВЕСТИ) к нарушению функционирования .... и т.д.

to Энерджик
А по какой причине множественные попытки авторизации требуют расследования? Не по причине ли того, что в конкретной организации стремятся перестраховаться и "предупреждать болезнь до ее лечения"?
Соответственно, разве не существует организаций (которых, увы, большинство), где действия (и, зачастую, само выявление) принимают только после возникновения ущерба (градация которого для каждого случая своя)? Словно работа нервной системы человека, ага...
И не противоречит ли это утверждение тому, что уже привел выше: Инцидент ИБ в зависимости от принятой Политики ИБ может включать, а может и не включать в себя Нарушение требований ИБ?
Все это к тому, что не надо разделять сущности на две несвязные категории. Здесь схема "множество-подмножество". Привязывание Инцидента к Ущербу - это непротиворечивый путь. Политика ИБ (и ее Нарушение соответственно) здесь как стоп-фактор (которой, кстати, может и не быть, либо быть номинальной). Как правило, выработанный на основании опыта (организации ли в целом, конкретных безопасников ли в частности). Но следующая логическая связка позволяет описать не только 99% ситуаций, но и весь цикл работ по ИБ: "Угроза ИБ (потенциальное состояние, определяемое Объектом воздействия, Нарушителем, Условиями, конкретными Воздействиями) -> Событие безопасности (нечто зафиксированное, обладающее метриками и показателями, которые можно анализировать и сравнить) -> Инцидент ИБ (нечто, однозначно негативное или некорректное, когда Ущерб уже есть вне зависимости от того ущерб ли это финансовый, бизнес-процессам, репутации, состоянию условного контроля и покоя и т.д.)". Политика ИБ (и, соответственно, Нарушение требований/политики ИБ) - это логическое расширение понятия Ущерб. Условно, "правила игры", которые можно нарушить и, соответственно, разрушить игру в принципе...

Короче, главное - это определить понятие "Ущерб". Речь не о прямых финансовых убытках, технологическом сбое, утечке кадров и т.д. Ущерб - это сбой достижения целей организации (или иной сущности, для которой мы рассматриваем применимость вопросов и цикла обеспечения безопасности). Сбой может быть любого рода. Просто при "взрослом" подходе подобный сбой прогнозируется на основе собранных данных заранее, а не пост-фактум. Грубо говоря, в детстве суют пальцы в розетку и чувствуют ток (ущерб градируется от неприятного раздражения до ожога или остановки сердца). И в будущем вырабатывают и правила (не совать пальцы в розетку и не хватать оголенные провода - возможен непоправимый Ущерб!), и набор наблюдений с предварительной аналитикой (оголенный провод под напряжением в жилище - это плохо и для тебя, и для других). Можно говорить, что Ущерб в случае нарушения правил потенциальный или косвенный. Но здесь важен сам факт: Ущерб не лицу, установившему правила, а Ущерб самому правилу, противоречие ему...

Это, кстати, решает иной логический парадокс. Условный пример: для контроля утечек информации за спиной каждого допущенного к информации лица ставим обученного автоматчика. Но кто теперь контролирует автоматчика? Является ли "обход" или "воздействие" на автоматчика априори воздействием на охраняемую/контролируемую им информацию? Или требуется ввести в действие радикально иные правила, описывающие подобную ситуацию?
Собственно, ввод в действие Политики ИБ - это шаг, направленный на снижение вероятности реализации Угроз и, как следствие, вероятности и/или степени Ущерба по отношению к рассматриваемой Системе (не обязательно ОИ, а к любой "системе" вплоть до конкретного человека, компонента, процесса, информации и самих принятых мер безопасности). Но тогда свод правил и ограничений Политики становится неотделимой частью Системы. И понятие Ущерба распространяется и на них. Иной слой абстракций и представления структуры обеспечения безопасности, только и всего. Зато без вплетания новых сущностей, принципов и логических взаимосвязей...