Инцидент информационной безопасности

Инцидент информационной безопасности — событие или совокупность связанных событий, для которых установлено либо обоснованно предполагается нарушение требований безопасности или значимый риск такого нарушения. Инцидентом могут быть несанкционированный доступ, вредоносная активность, утечка данных, отказ сервиса или нарушение установленной политики. Обработка обычно включает регистрацию, первичную оценку, классификацию, локализацию, устранение причины, восстановление и разбор результатов. Приоритет определяют по затронутым активам, масштабу, подтверждённому воздействию и требованиям к уведомлению; не каждое техническое предупреждение требует одинаковой реакции. Термин применяется в регламентах SOC, службах поддержки, системах мониторинга и планах реагирования. Для организации важны согласованные критерии эскалации, роли участников, журналирование действий и каналы связи с владельцами систем. Инцидент отличается от события безопасности: событие является наблюдаемым фактом, например неудачным входом, а инцидент требует обработки как нарушения или угрозы. Он также отличается от уязвимости, которая описывает слабое место без обязательного факта эксплуатации.