GB/T 20985.1-2017
Информационные технологии. Методы обеспечения безопасности. Управление инцидентами информационной безопасности. Часть 1. Принципы управления инцидентами. (Англоязычная версия)

Стандартный №

GB/T 20985.1-2017

язык

Китайский, Доступно на английском

Дата публикации

2017

Разместил

General Administration of Quality Supervision, Inspection and Quarantine of the People‘s Republic of China

Последняя версия

GB/T 20985.1-2017

заменять

GB/Z 20985-2007

сфера применения

Развитие стандарта и основные изменения

Версия	Тип стандарта	Основные технические изменения
GB/Z 20985-2007	Руководящий технический документ	Включая терминологию планирования непрерывности бизнеса, 4-этапный процесс управления
GB/T 20985.1-2017	Рекомендуемый национальный стандарт	Добавляет 5 новых терминов, расширяет модель управления до 5-этапной

---

Подробное объяснение пяти фаз управления инцидентами

1.

Создание IRT (группы реагирования на инциденты) и разработка плана управления, включающего стратегию коммуникации. Основные действия включают:

• Разработка стратегии управления инцидентами и получение поддержки от высшего руководства
• Разработка систем поддержки и учебных курсов
• Проверка эффективности плана управления

---

2. Обнаружение и отчетность

Мониторинг необычной активности с помощью системы ситуационной осведомленности и разработка стандартизированных процедур отчетности. Ключевые направления:

• Анализ системного журнала и сканирование уязвимостей
• Требования соответствия к сохранению доказательств
• Классификация инцидента (ложная тревога/потенциальный инцидент)

---

3. Оценка и принятие решений

Используйте многоуровневую матрицу оценки для определения уровня инцидента. Дерево решений включает:

• Оценку области воздействия (измерение актива/бизнеса)
• Определение приоритета реагирования
• Условия запуска механизма эскалации

---

4. Реагирование и утилизация

Выполнение стандартизированного реагирования, включая цифровую криминалистику:

• Стратегия сдерживания (изоляция/очистка трафика)
• Меры по искоренению (установка исправлений/восстановление конфигурации)
• Процесс проверки восстановления

---

5. Извлеченные уроки

Достижение непрерывного совершенствования посредством цикла PDCA:

• Реконструкция и анализ временной шкалы событий
• Обзор эффективности мер контроля
• Механизм обновления базы знаний

---

Рекомендации по внедрению

Решение по адаптации для малых и средних предприятий: IRT можно упростить до виртуальной команды, сосредоточившись на централизованном анализе журналов и основных планах реагирования. См. упрощенную таксономию в Приложении C.

Дополнительные требования к критической инфраструктуре: Необходимо создать круглосуточный центр мониторинга и канал обмена информацией с Национальным CERT.