Приложение N 9. Порядок реагирования на компьютерные инциденты в единой мультисервисной телекоммуникационной сети Правительства Астраханской области

Приложение N 9
к постановлению министерства
государственного управления,
информационных технологий и
связи Астраханской области
от 20.04.2021 N 4-П

Порядок
реагирования на компьютерные инциденты в единой мультисервисной телекоммуникационной сети Правительства Астраханской области

1. Порядок реагирования на компьютерные инциденты в единой мультисервисной телекоммуникационной сети Правительства Астраханской области (далее - Порядок) разработан в целях повышения эффективности работы единой мультисервисной телекоммуникационной сети Правительства Астраханской области (далее - ЕМТС) и всех ее составляющих, координации действий пользователей ЕМТС и повышения уровня информационной безопасности ЕМТС.

2. Для целей настоящего Порядка используются понятия, определенные в Положении о единой мультисервисной телекоммуникационной сети Правительства Астраханской области, утвержденном распоряжением Правительства Астраханской области от 18.09.2013 N 424-Пр "О единой мультисервисной телекоммуникационной сети Правительства Астраханской области".

3. При выявлении пользователем ЕМТС или администратором сегмента ЕМТС признаков функционирования вредоносного программного обеспечения необходимо:

3.1. Сообщить о данном факте с указанием внутреннего ip-адреса зараженного автоматизированного рабочего места (далее - АРМ) администратору ЕМТС (ГБУ АО "Инфраструктурный центр электронного правительства").

3.2. Отключить зараженное АРМ ото всех средств коммуникации и сети электропитания.

3.3. Зафиксировать точную дату и время отключения зараженного АРМ.

3.4. Проинформировать администратора ЕМТС о проведенных мероприятиях и ждать дальнейших инструкций.

4. При поступлении сведений о проведении компьютерной атаки, а также наличии признаков проведения компьютерной атаки необходимо:

4.1. Отключить зараженное АРМ ото всех средств коммуникации и сети электропитания.

4.2. Сообщить администратору ЕМТС о данном факте и проведенных мероприятиях с указанием ip-адреса зараженного АРМ, ждать дальнейших инструкций.

5. При выявлении указанных фактов и невозможности отключения зараженного АРМ от сети необходимо:

5.1. Снять побитный образ операционной системы.

5.2. Зафиксировать на съемном носителе все записи журналов, log-файлы интернет-соединений за последние трое суток.

5.3. При необходимости осуществить резервное копирование файловой системы.

5.4. Сообщить администратору сети ЕМТС о проведенных мероприятиях с указанием внутреннего ip-адреса зараженного АРМ и ждать дальнейших инструкций.

6. Администратору ЕМТС при получении соответствующей информации в течение 24 часов необходимо проинформировать федеральный орган исполнительной власти, уполномоченный в области обеспечения функционирования ГосСОПКА (УФСБ России по Астраханской области, телефон: 44-36-88, факс: 44-39-76). В сообщении уведомить о факте возникновения компьютерного инцидента и месте его возникновения, предоставить контактный номер телефона для организации последующего взаимодействия.