NIST SP 800-61 рекомендації з реагування на інциденти

Що це таке

NIST Special Publication 800-61 Revision 3, "Incident Response Recommendations and Considerations for Cybersecurity Risk Management," - публікація квітня 2025 року Національного інституту стандартів і технологій. Вона замінює "Computer Security Incident Handling Guide" 2012 року документом іншого виду: замість покрокової процедури обробки інциденту це CSF 2.0 Community Profile, "a baseline of CSF outcomes that is created and published to address shared interests and goals for reducing cybersecurity risk among a number of organizations." Він накладає роботу з реагування на інциденти на шість Functions NIST Cybersecurity Framework (CSF) 2.0, Govern, Identify, Protect, Detect, Respond, Recover, і оцінює релевантність кожної Function, Category і Subcategory для реагування на інциденти як High, Medium або Low, додаючи рекомендацію, міркування або примітку до пріоритетніших.

NIST розробив Profile за власною статутною роллю щодо федеральної інформаційної безпеки і описує його поза тим як те, що "may be used by nongovernmental organizations on a voluntary basis." Він не задає методології, якої будь-хто має дотримуватися буквально, і не називає схеми сертифікації, акредитації чи аудиту, щодо якої перевіряють відповідність йому. Власний розділ Audience каже, що він "is intended for use by most organizations, regardless of sector, size, or other factors."

Кому це має бути небайдуже

Документ називає керівництво програми кібербезпеки і персонал кібербезпеки першими, потім значно розширює: обробників інцидентів, штатних, за контрактом або доступних за потреби через надавача на кшталт надавача керованих послуг безпеки; технологічних фахівців; юридичну службу; громадські комунікації і зв'язки зі ЗМІ; кадри; фізичну безпеку і управління об'єктами; власників активів; і треті сторони за контрактом, включно з хмарними і інтернет-надавачами, які можуть тримати власні зобов'язання з реагування на інциденти за моделлю спільної відповідальності. Для організації поза федеральним урядом практичний тригер зазвичай - анкета безпеки замовника або зобов'язання повідомляти про інцидент, що вже використовує цей словник, бо сам документ зобов'язання не створює.

Як організовано Profile

Зміст Profile сидить у двох таблицях, накладених на Functions, Categories і Subcategories CSF 2.0. Кожен рядок несе пріоритет High, Medium або Low саме для реагування на інциденти і, де релевантно, один або більше літерних пунктів: "R" для рекомендації ("something the organization should do"), "C" для міркування ("something the organization should consider doing") і "N" для примітки. Table 2 охоплює Preparation and Lessons Learned (Govern, Identify, Protect); Table 3 охоплює саме Incident Response (Detect, Respond, Recover), де "all CSF elements in this part have recommendations or considerations," на відміну від Table 2, де більшість рядків Govern не несуть жодного.

Govern і Identify налаштовують реагування до того, як воно потрібне. Політика кібербезпеки "should include an incident response policy," а ролі, обов'язки і повноваження "should include incident response," охоплюючи треті сторони за контрактом, і "relevant suppliers and other third parties are included in incident planning, response, and recovery activities." Інвентаризації активів дають тим, хто реагує, зрозуміти, чого торкнувся інцидент, а оцінювання ризику дає розвідку загроз і визначений набір відповідей на ризик. Improvement, оцінений як High, означає ідентифікацію розривів "from evaluations," "from security tests and exercises, including those done in coordination with suppliers and relevant third parties," і з кожного операційного процесу, що насправді запущений, живлячи план реагування на інциденти, який тримають "established, communicated, maintained, and improved" і синхронізованим із планами безперервності бізнесу.

Detect, Respond і Recover несуть вагу пріоритету High Profile впродовж усього. Виявлення - безперервний моніторинг мереж, фізичного середовища, діяльності персоналу, зовнішніх надавачів послуг і обчислювального обладнання та програмного забезпечення, за яким іде аналіз, що корелює висновки і оголошує інцидент, щойно він відповідає визначеним критеріям. Реагування сортує і категоризує інциденти, явно відкидаючи "first-come, first-served basis"; зберігає "integrity and provenance" записів розслідування; повідомляє зацікавлених сторін згідно із застосовними законами; і стримує та викорінює інцидент, вручну або через автоматизацію. Одна вимога, яку варто знати: навмисно відкладати стримування, щоб спостерігати нападника в пісочниці, "should first discuss the feasibility of this strategy with the legal department before executing it," бо сама затримка може дати нападнику ескалувати. Відновлення перевіряє цілісність резервних копій "before using them for restoration," відновлює суттєві послуги в правильному порядку і закривається "an after-action report that documents the incident itself, the response and recovery actions taken, and lessons learned."

Що рецензент шукає по всьому цьому - слід артефактів, а не сертифікат: письмову політику і план реагування на інциденти, названі повноваження, хто може від'єднати актив, вихід моніторингу, прив'язаний до оголошених інцидентів, записи рішень про стримування і викорінення, випробувані резервні копії і after-action report на кожен великий інцидент.

Як це оцінюють

Схеми сертифікації, акредитації чи нотифікованого органу для SP 800-61r3 немає. Це Community Profile, який організації прямо запрошують підлаштувати: "these priorities are intended as a starting point for organizations, who are encouraged to customize this Community Profile to reflect their own priorities and needs." Де оцінювання відбувається, документ тримає його окремо від будь-якого випробування відповідності. Внутрішньо Improvement рекомендує періодично оцінювати "incident response program performance to identify problems and deficiencies that should be corrected," називаючи "self-assessments, third-party assessments, and independent audits" як можливі форми, організація перевіряє себе, а не орган її сертифікує. Для федерального агентства США будь-який зовнішній нагляд іде через ширший механізм FISMA і OMB Circular A-130, з яким ця публікація каже, що вона "consistent with," а не через аудит власного тексту цього документа. Поза федеральним урядом єдина зовнішня перевірка, з якою стикається більшість читачів, - анкета безпеки замовника або клаузула контракту, що посилається на базовий CSF.

Стандарти, на які посилається

Profile побудовано на NIST Cybersecurity Framework (CSF) 2.0, чиї Functions, Categories і Subcategories структурують обидві його таблиці, і він замінює власне попереднє видання, NIST SP 800-61 Revision 2 (2012). Він називає подальший набір публікацій NIST як підтримувальне читання, а не обов'язкові вимоги: SP 800-150 (обмін інформацією про кіберзагрози), SP 800-92r1 (управління журналами), SP 800-84 (програми випробувань, навчання і вправ), SP 800-184 (відновлення після подій кібербезпеки), SP 800-216 (федеральне розкриття вразливостей), SP 800-218 (безпечне розроблення програмного забезпечення), SP 800-30r1 (оцінювання ризику), SP 800-37r2 (Risk Management Framework) і SP 800-160v1 (інженерія надійних захищених систем), поряд із CISA Cybersecurity Incident & Vulnerability Response Playbooks для опрацьованих прикладів процедур. Жоден із них не розв'язаний у нашому каталозі щодо цього запису, тож їх названо тут, а не з посиланням.

Запросити доступ до цього стандарту

Розкажіть, як ви плануєте працювати з NIST SP 800-61 і що вам від нього потрібно. Ми зв'яжемося з вами та повідомимо, чим тут може допомогти ComplyTrain.