Нам нужно соответствовать процедуре реагирования на киберинциденты MEB — с чего начать школе?

На проверках больше всего смотрят на верифицируемость логов. Просто копить текстовые файлы на лог-сервере недостаточно; требуют отметку времени и хеш-запись в соответствии с законом № 5651. Если не сможете сопоставить внутренний IP, полученный родителем или учеником в гостевом интернете, с внешним IP, вам сразу напишут несоответствие.

Компьютеры учеников и сотрудников в одном блоке сети? Если у вас нет разделения на VLAN, то даже написав процедуру, вы завалите техническую проверку. Вы вообще уточняли, проверяют ли инспекторы министерства специально изоляцию административной сети?

Решение о назначении команды реагирования на киберинциденты, создаваемой в вашем учреждении, должно быть официально оформлено подписью директора школы и записью в журнале решений с датой. Представление копии подготовленного плана в подразделение частных образовательных учреждений районного управления национального образования в виде приложения к официальному сопроводительному письму облегчит ваш процесс проверки.

В прошлом семестре в нашем кампусе на 1100 человек проходила аналогичная проверка. От нас потребовали заполнить типовые формы министерского образца и предоставить логи DHCP и фаервола за прошедшие 730 дней с метками времени. Обошлись без сторонних консультантов: за две недели привели всю документацию в порядок и без единого замечания прошли инспекцию.

edit: исправил несколько опечаток.

у нас в школе завуча сделали председателем а меня техспецом. скачали с сайта meb типовой шаблон плана реагирования на инциденты и подогнали под себя. выглядит как чистая формальность но районное управление образования все согласовало при сдаче документов так что без паники.

Шаблоны от министерства обычно заточены под огромные штаты госструктур. Глупо ожидать, что IT-отдел частной школы из 2 человек будет генерировать отчеты как полноценный круглосуточный SOME. Пишите реалистичный внутренний регламент и не вносите в регламент шаги, которые физически не сможете выполнить, чтобы потом сами от этого не страдали.

Первым делом прямо завтра скачайте себе форму «Siber Olay Bildirim Formu» из приложения к инструкции MEB по инфобезопасности. Затем сразу проверьте, активна ли лицензия на метки времени на устройстве логирования сетевого шлюза — это два самых критичных пункта на практике.

Я бы не торопился. Время обнаружения проблемы напрямую определяет ее стоимость.

Если напишете результат здесь, это поможет и другим.

Вы правы, я сам проходил через это. Начните с небольшого эксперимента, не привязывайте всё сразу.

Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете. Проверено опытом.

Эта тема в архиве. Чем сложнее отменить решение, тем медленнее его принимайте.

Надеюсь, это будет полезно.

Согласен с этим. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

При принятии решений записывайте и худший сценарий, а не только лучший. Надеюсь, это будет полезно.

А как вы решили этот вопрос? Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Конечно, если ваша ситуация отличается всё меняется.

После того случая мой взгляд на вещи изменился. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Большая часть потерь времени копится на задачах, ожидающих согласования. На этом всё, извините если затянул.

Я тоже так считаю. Когда пытаешься изменить всё сразу, ничего не приживается.

Если разрешение и объем тестирования не зафиксированы письменно тест не начинать. Это мое мнение, не утверждаю, что оно единственно верное.

не могу полностью с этим согласиться. первые три месяца все идет хорошо, проблемы всплывают на четвертом.

если путь уведомления длинный, уведомлеие не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент... исправьте, если я ошибаюсь.

Верно.

Буду рад если напишете о результате.

Вы правы. Непроверенная резервная копия — не резервная копия.

Интересно, есть ли те, кто делает иначе.