कार्मिक कीमिया: केंद्र GosSOPKA की टीम की इष्टतम रचना क्या है?

यह लेख उन लोगों के लिए उपयोगी है जो महत्वपूर्ण सूचना अवसंरचना (CII) के एक विषय के रूप में मान्यता प्राप्त कंपनी में काम करते हैं, जिसका अर्थ है कि यह संख्या 187-FZ की आवश्यकताओं को पूरा करने और राज्य सामाजिक सुरक्षा और प्रमाणन सेवा (कंप्यूटर हमलों के परिणामों का पता लगाने, रोकने और समाप्त करने के लिए राज्य प्रणाली) के केंद्र का निर्माण करने के लिए बाध्य है जो रूस की संघीय सुरक्षा सेवा की आवश्यकताओं को पूरा करता है। ।

पिछले एक लेख में, हमने इस विषय के मूल आधारों को छुआ और तकनीकी साधनों के लिए एफएसबी की आवश्यकताओं के बारे में बात की, जिसका उपयोग राज्य सामाजिक सुरक्षा और प्रमाणन सेवा के केंद्र में किया जाना चाहिए। हालांकि, ये आवश्यकताएं (लगभग पहली बार) न केवल सुरक्षा के तकनीकी साधनों पर लागू होती हैं, बल्कि आईएस की घटनाओं की निगरानी, ​​प्रतिक्रिया और जांच के लिए विशिष्ट प्रक्रियाओं के कार्यान्वयन के लिए भी लागू होती हैं। इसलिए, आज हम बात करेंगे कि इन सभी प्रक्रियाओं को सुनिश्चित करने के लिए आपको किन मानव संसाधनों की आवश्यकता होगी।

सबसे पहले, हम इस विषय पर कुछ सुझाव क्यों देते हैं। संक्षेप में, साइबर हमलों की निगरानी और जवाब देने के लिए गोस्पोक केंद्र एक छोटा आंतरिक केंद्र है
(सुरक्षा संचालन केंद्र), केवल अतिरिक्त कार्यों और जिम्मेदारियों के साथ। इस तरह की सेवाएं प्रदान करने का सात साल का अभ्यास, सुरक्षा के तहत सबसे बड़ी कंपनियों में से एक सौ से अधिक, साथ ही साथ ग्राहकों के लिए गोस्पोका केंद्र बनाने के अनुभव ने हमें समय पर काम करने में मदद की बल्कि कर्मियों के मुद्दों को गहराई से समझने में मदद की। और, निश्चित रूप से, जिस तरह से हम नियमित रूप से सेवा के आवश्यक उच्च स्तर को बनाए रखते हुए कर्मचारियों की लागतों का अनुकूलन करने के लिए विकल्पों की तलाश करते थे।

विशेष रूप से, टीम को एक सख्त एसएलए का सामना करने में सक्षम होना चाहिए: सौर जेएसओसी विशेषज्ञों के पास हमले का पता लगाने के लिए केवल 10 मिनट हैं और जवाब देने और सुरक्षा के लिए केवल 30 मिनट हैं। उसी समय, हमने जो कार्मिक मानक विकसित किए हैं, वे हमें ग्राहक पर घटनाओं की वास्तविक मात्रा के आधार पर टीम को स्केल करने की अनुमति देते हैं (और, मेरा विश्वास करो, यह साल-दर-साल कम नहीं हो रहा है)।

इस सामग्री में, हमने अपनी उपलब्धियों का सारांश दिया और एसओसी के संगठनात्मक और कर्मचारी संरचना का न्यूनतम विन्यास दिया, जिसमें यह गोसोप्का केंद्र के सभी आवश्यक कार्यों को पूरा करने में सक्षम होगा और नियामक की पद्धति संबंधी सिफारिशों का पालन करेगा।

पहली पंक्ति

जैसा कि अभ्यास से पता चलता है, इस पंक्ति में सुरक्षा के लिए न्यूनतम 7 विशेषज्ञों की आवश्यकता होती है - इस तथ्य को देखते हुए कि उनमें से अधिकांश 24 -7 मोड प्रदान करते हैं। ये, विशेष रूप से, निगरानी करने वाले विशेषज्ञ हैं - कम से कम 6 लोग होने चाहिए। इस स्थिति में, आप न केवल एंटरप्राइज़ सिस्टम पर चौबीसों घंटे नियंत्रण करते हैं, बल्कि आप एफएसबी को कंप्यूटर की घटनाओं के बारे में जानकारी नहीं दे सकते हैं, जो कि 24.2 घंटे के बाद आदेश 07.24.2018 के क्रमांक 367 के अनुसार है।

SZI GosSOPKA के लिए सेवा विशेषज्ञों के मामले में, विभिन्न विकल्प संभव हैं।

पहला यह है कि केआईआई के विषय में बड़े पैमाने पर वास्तुकला है, और यह महत्वपूर्ण सेवाओं की निरंतर उपलब्धता सुनिश्चित करने के लिए आवश्यक है, और आईएसएस के काम के शटडाउन / दुर्गमता / व्यवधान के कारण, संगठन मौद्रिक और / या प्रतिष्ठा को नुकसान पहुंचाएगा, और साथ ही पर्यावरण और लोगों को नुकसान का एक उच्च जोखिम है। इस मामले में, आपको 6 लोगों को नियुक्त करने की आवश्यकता है जो 24x7 शिफ्ट काम प्रदान करेंगे।

एक अन्य विकल्प: विषय में एक ही बड़े पैमाने पर वास्तुकला और महत्वपूर्ण सेवाएं हैं जिनके लिए निरंतर उपलब्धता की आवश्यकता होती है, जबकि उपकरण के साथ सभी संचालन आईटी सेवाओं द्वारा किए जाते हैं, और सूचना सुरक्षा विभाग कार्य नियमों को निर्धारित करता है और उनके कार्यान्वयन की निगरानी करता है। इस मामले में, आप अपने आप को 12/7 मोड में काम करने वाले तीन विशेषज्ञों तक सीमित कर सकते हैं और यदि आवश्यक हो तो रात की कॉल की संभावना।

यदि राज्य सामाजिक सुरक्षा एजेंसी का विषय 18+ घंटे के लिए KII वस्तुओं की उपलब्धता के उल्लंघन के जोखिम को महत्वपूर्ण नहीं मानता है, तो 8x5 मोड में 1 विशेषज्ञ की सहायता से सुरक्षात्मक उपकरण बनाए रखना संभव है।

विशेषज्ञ	कर्तव्यों	योग्यता आवश्यकताओं	शासन	गिनती
निगरानी विशेषज्ञ	हेल्पडेस्क, आईआरपी, सिएम या उपयोगकर्ताओं से विशिष्ट घटनाओं को संभालना। समीक्षा के परिणामों पर विशिष्ट रिपोर्ट। स्रोतों की स्थिति की निगरानी। पूर्वव्यापी जांच (समझौता के नए संकेतकों की प्राप्ति पर)।	सिस्टम एडमिनिस्ट्रेशन (लिनक्स / मैक / विंडोज)। विभिन्न SZI का ज्ञान। OSI मॉडल का ज्ञान। ई-मेल संरक्षण, नेटवर्क निगरानी और घटना प्रतिक्रिया के सिद्धांतों का ज्ञान। विविध एसआईएस से लॉग के एकत्रीकरण और विश्लेषण का अनुभव।	24x7	6
सेवा विशेषज्ञ	ऑपरेटिंग उपकरण और सॉफ्टवेयर की समस्याओं की निगरानी और निदान। SZI का अनुसूचित दिनचर्या रखरखाव। SZI की अनिर्धारित सेवा। केंद्र के आंतरिक बुनियादी ढांचे का रखरखाव कई सकारात्मक झूठी सकारात्मक स्थिति में त्वरित प्रतिक्रिया।	सिस्टम एडमिनिस्ट्रेशन (लिनक्स / मैक / विंडोज)। विभिन्न SZI का ज्ञान।	24x7	6
			रात में 12x7 + कॉल करें	3
			8x5	1

यह समझना महत्वपूर्ण है कि रात में घटनाओं की काफी कम मात्रा के बावजूद, सबसे महत्वपूर्ण और महत्वपूर्ण घटनाएं रात में होती हैं और सुबह की पारी शुरू होने तक, वे पहले से ही अपनी प्रासंगिकता खो रहे हैं। हालांकि, यह 24x7 ऑपरेटिंग मोड का संरेखण है जो अधिकांश एसओसी के लिए कठिनाइयों का कारण बनता है: हर विशेषज्ञ शिफ्ट में काम नहीं करना चाहेगा। एक दुर्लभ कर्मचारी लंबे समय तक गुणवत्ता के काम के लिए प्रेरित होगा, खासकर अगर आपके बुनियादी ढांचे में कुछ घटनाएं होती हैं। इसका मतलब यह है कि आपको कर्मचारियों के कारोबार के मुद्दों को व्यवस्थित रूप से हल करना होगा, लगातार नए विशेषज्ञों का चयन और प्रशिक्षण करना होगा।

दूसरी पंक्ति

इस स्तर पर, एक नियम के रूप में, एक अनुभवी ठेकेदार की मदद के बिना नहीं कर सकता है - जब तक कि निश्चित रूप से, आप पैसे की गिनती नहीं करते हैं और एक पूर्ण-सेवा आईबी कंपनी में बदलने का इरादा नहीं रखते हैं। दरअसल, कंप्यूटर की घटनाओं के परिणामों को खत्म करने और सुरक्षा का आकलन करने में विशेषज्ञों के अलावा, दूसरी पंक्ति में विशिष्ट स्थान शामिल हैं। ये बहुत महंगे विशेषज्ञ हैं जिन्हें आपको पूर्णकालिक की आवश्यकता नहीं है, लेकिन जिसके बिना आपका एसओसी एसओओपीकेएके केंद्र के गर्वित शीर्षक को पूरा करने में सक्षम होने की संभावना नहीं है - पेंटेस्टर्स, फोरेंसिक विशेषज्ञ, कोड विश्लेषण विशेषज्ञ। नतीजतन, कार्यों के स्तर के आधार पर, दूसरी पंक्ति के कर्मचारियों की न्यूनतम संख्या 3-4 कर्मचारी है।

उनमें से कंप्यूटर घटना प्रतिक्रिया विशेषज्ञ हैं, अनुभवी प्रथम-पंक्ति कर्मचारी जो जानते हैं कि गैर-विशिष्ट घटनाओं को कैसे संभालना है और कठिनाइयों के मामले में पहली-पंक्ति सहायता प्रदान करना है।

GosSOPKA केंद्र नियमित रूप से जिम्मेदारी के क्षेत्र में सूचना संसाधनों की सुरक्षा का मूल्यांकन करने के लिए बाध्य है, लेकिन हर संगठन अपनी खुद की टीम को नहीं खरीद सकता है, जो सहकर्मियों को निरंतर स्वर में रखेगा। इसके अलावा, पद्धतिगत सिफारिशों के अनुसार, पैठ का परीक्षण वर्ष में दो बार किया जाना चाहिए - बाहरी और आंतरिक। यह मुद्दा एक अनुभवी बाहरी ठेकेदार द्वारा काफी सफलतापूर्वक बंद कर दिया गया है, जिसके विशेषज्ञ कई अलग-अलग ग्राहकों के साथ काम करते हैं, जिसका अर्थ है कि वे नियमित रूप से "मुकाबला" स्थितियों में अपने कौशल में सुधार करते हैं।

राज्य में, हम अनुशंसा करते हैं कि आप केवल एक सुरक्षा मूल्यांकन विशेषज्ञ को छोड़ दें, जिसकी मुख्य जिम्मेदारियां सूचना संसाधनों की एक सूची होगी, सुरक्षा स्कैनर के साथ काम करना, सुरक्षा स्कैनर और प्रसंस्करण पैच प्रबंधन की निगरानी करना।

साथ ही, यदि KII के विषय के लिए सुरक्षित सॉफ्टवेयर विकास का जीवन चक्र लागू करना प्रासंगिक है, तो कमजोरियों की पहचान करने के लिए स्रोत कोड के स्थिर और गतिशील विश्लेषण का उपयोग किया जा सकता है। इसी समय, केआईआई के लिए बहुत ही सीमित मामलों में एक ऐपेक-विशेषज्ञ की आवश्यकता होती है - यहां बाहरी विशेषज्ञता को आकर्षित करना तर्कसंगत है।

इसके अलावा, परिपक्व एसओसी के पास कंप्यूटर की घटनाओं के कारणों की पहचान करने में विशेषज्ञ भी हैं। एक नियम के रूप में, यह इंजीनियरों की एक पूरी टीम भी है, जिसे वर्ष में केवल कई बार आवश्यकता होती है, और हम सलाह देते हैं कि हम अपनी सामग्री के साथ खुद को बोझ न डालें, बल्कि उन कंपनियों के साथ समझौते का समापन करें जो एक निरंतर आधार पर फोरेंसिक में लगे हुए हैं।

विशेषज्ञ	कर्तव्यों	योग्यता आवश्यकताओं	शासन	गिनती
सीटी विशेषज्ञ	जटिल घटनाओं पर प्रतिक्रिया। सर्ज के साथ SZI की बातचीत की निगरानी। घटनाओं की पहचान करने के लिए असामान्य गतिविधियों का विश्लेषण। DDoS हमलों की जांच। कई सकारात्मक झूठी सकारात्मक स्थिति में त्वरित प्रतिक्रिया।	पहली पंक्ति के समान, प्लस: स्क्रिप्टिंग भाषाओं का ज्ञान (पायथन, बैश, पॉवर्सशेल)। कमजोरियों और सीवीई नंबर के प्रबंधन के बारे में जागरूकता। लॉग प्रबंधन और पैच प्रबंधन विंडोज और लिनक्स परिवारों में। CISSP / CEH के साथ प्रमाण पत्र या ज्ञान का अनुपालन। सिएम सिस्टम पर विशेष ध्यान दें	रात / सप्ताहांत कॉल के साथ 8x5	2
			रात में 12x7 + कॉल करें	3
सुरक्षा आश्वासन	कमजोरियों और अनुपालन के लिए स्कैनिंग। स्कैन प्रोफाइल कॉन्फ़िगर करें। सुरक्षा स्कैनर रिपोर्ट के आधार पर भेद्यता विश्लेषण। आधार CMDB भरना।	इन्वेंट्री टूल, सुरक्षा नियंत्रण के साथ काम करें	8x5	1
DevSecOps- / QA विशेषज्ञ	सॉफ्टवेयर स्रोत कोड का स्थिर और गतिशील विश्लेषण	स्थैतिक और गतिशील कोड एनालाइज़र के साथ काम करते हुए, ऐप CI / CD का निर्माण, फ़ज़िंग	उपपट्टा
Pentesters / Redteam	प्रवेश परीक्षण। अनुसंधान के आधार पर आईओसी का विकास।	किलचैन के सभी चरणों के लिए आंतरिक और बाहरी पेंट्स का संचालन करना। कमजोरियों का पता लगाने और उनका दोहन करने के लिए उपकरणों का कब्ज़ा। आईडीएस / आईपीएस बाईपास आदि। OSINT का स्वामित्व। बैश, पॉवर्सशेल, पायथन। परीक्षण विधियों का ज्ञान।	उपपट्टा
कंप्यूटर कारण पहचानकर्ता	मैलवेयर नमूनों के रिवर्स इंजीनियरिंग। नेटवर्क ट्रैफिक डंप, रैम, डिस्क स्नैपशॉट के फोरेंसिक। मेजबान आधारित फोरेंसिक।	घटनाओं की जांच। सबूतों का संग्रह और विश्लेषण, कानून प्रवर्तन एजेंसियों के साथ बातचीत (फोरेंसिक सिस्टम, रिवर्स इंजीनियरिंग, आदि के साथ काम)	उपपट्टा

तीसरी पंक्ति

मुख्य रणनीतिक कार्यों और शीर्ष-स्तरीय प्रबंधन का समाधान, जिसे तीसरी पंक्ति द्वारा लागू किया जाता है, को इसके किनारे पर संचित किया जाना चाहिए। ऐसी इकाई की न्यूनतम संरचना 5 विशेषज्ञ हैं।

ये विशेष रूप से, तकनीकी विशेषज्ञ हैं - विशेषज्ञता के इंजीनियर, विशेषज्ञता के अपने क्षेत्र के लिए जिम्मेदार हैं। बड़े केंद्रों के कर्मचारियों में सभी आवश्यक क्षेत्रों (WAF, ITU, IDS / IPS, CIP, आदि) के विशेषज्ञ शामिल होने चाहिए। हम खुद को दो तकनीकी विशेषज्ञों तक सीमित रखेंगे, जिन्हें पहली और दूसरी पंक्ति के विशेषज्ञों को विशेषज्ञ सहायता प्रदान करनी चाहिए।

विधिविज्ञानी (आईएस ऑडिटर), विनियामक कानूनी कृत्यों के क्षेत्र में एक विशेषज्ञ और नियामक (FSTEC, FSB, सेंट्रल बैंक, ILV) की आवश्यकताओं, कानून के प्रावधानों के साथ संगठन के सुरक्षा स्तर के अनुपालन का आकलन करने के लिए जिम्मेदार है।

एनालिस्ट-आर्किटेक्ट नए कनेक्टर, सिएम लिपियों को विकसित कर रहा है, थ्रेट इंटेलिजेंस डेटा के अनुसार सुरक्षा उपकरणों के नियमों और नीतियों को अपडेट कर रहा है, गलत सकारात्मक प्रतिक्रियाओं का विश्लेषण कर रहा है, विसंगतियों का विश्लेषण कर रहा है।

गोस्पोक केंद्र के प्रमुख को निस्संदेह नियामक ढांचे की गहराई से जानकारी होनी चाहिए और सूचना सुरक्षा उद्योग में कम से कम 10 साल का व्यावहारिक अनुभव होना चाहिए।

विशेषज्ञ	कर्तव्यों	योग्यता आवश्यकताओं	शासन	गिनती
तकनीकी विशेषज्ञ	स्टैंडों की तैनाती पर आंतरिक तकनीकी कार्य। केंद्र के लिए नए उत्पादों का परीक्षण। कई झूठी सकारात्मक स्थिति में शीघ्र प्रतिक्रिया। सामग्री की गुणवत्ता का विश्लेषण, संशोधन के लिए आवश्यकताओं का गठन। केस रिव्यू का संचालन, 1 लाइन द्वारा मामलों के विश्लेषण की गुणवत्ता का विश्लेषण। सकारात्मक सकारात्मक सकारात्मक, उन्मूलन के लिए सिफारिशें की समग्र विश्लेषण।	विशेषज्ञता के अपने क्षेत्र में विशेषज्ञ (मैलवेयर, ट्विक्स, विशेष तकनीकी साधनों का उपयोग, आदि)।	8x5	2
मेथोडोलॉजिस्ट (IS ऑडिटर)	संगठनात्मक और प्रशासनिक सूचना सुरक्षा प्रलेखन (नीतियों, नियमों, निर्देशों) का विकास और रखरखाव। सूचना सुरक्षा के कानूनी आवश्यकताओं और उद्योग मानकों के अनुपालन का संगठन और नियंत्रण। अनुबंध की तैयारी और निष्कर्ष में भागीदारी; सूचना सुरक्षा के संदर्भ में प्रतिपक्ष आवश्यकताओं की प्रयोज्यता और व्यवहार्यता का विश्लेषण; सुरक्षा नीतियों और मानकों के अनुपालन के संदर्भ में अनुबंधों का विश्लेषण। कंपनी में एक सूचना सुरक्षा जागरूकता कार्यक्रम का विकास और रखरखाव। दस्तावेज़ीकरण में विवरण पक्ष से सूचना परिसंपत्तियों का आविष्कार और वर्गीकरण।	जटिलता और पद्धति संबंधी पेपर विकास में एक विशेषज्ञ। खतरे और घुसपैठियों के मॉडल, कार्यप्रणाली की सिफारिशों को विकसित करने में अनुभव।	8x5	1
विश्लेषक आर्किटेक्ट	कनेक्टर विकास। आईपी ​​के कामकाज की सुविधाओं के लिए परिदृश्यों को अपनाना। नए स्रोतों के लिए स्क्रिप्टिंग। स्क्रिप्ट अनुकूलन। थ्रेट इंटेलिजेंस की प्राप्ति पर परिदृश्य विकास। हमलों और उनकी पहचान के लिए परिदृश्यों के विकास का अनुकरण	प्रक्रिया की मास्टरी और समर्थन (साधन) इसकी दिशा में: भेद्यता मूल्यांकन। निरंतर निदान और शमन। आईओसी को थ्रेट इंटेलिजेंस सिस्टम से विषय के आईपी तक अनुकूलित करने की क्षमता	8x5	1
सिर	सामान्य दिशा और आर्केस्ट्रा। राज्य SOSPKA इकाई के कर्मचारियों की जागरूकता बढ़ाना। "साइबर-ऑर्डर" करना।	टीम प्रबंधन 10 साल से सूचना सुरक्षा में अनुभव एफएसबी और एफएसटीईसी के नियामक दस्तावेजों का ज्ञान	8x5	1

अभ्यास की बात कही

ये सभी सिफारिशें कार्रवाई के लिए एक सटीक मार्गदर्शिका के बजाय शुरुआती बिंदु के रूप में काम करती हैं। बेशक, जब आप अपना केंद्र बनाते हैं, तो आपको अपना खुद का स्टाफ मिलेगा। एक पंक्ति में अधिक विशेषज्ञ होंगे, दूसरे में कम, तीसरे में थोड़ी अलग भूमिकाएं दिखाई देंगी, या वे बढ़ते / कम होते जाएंगे।

उदाहरण के लिए, हमारे ग्राहकों में से एक के लिए, हमने एक एसओसी का निर्माण किया जहां हमने 24x7 मोड में पहली निगरानी लाइन के कार्यों को छोड़ दिया, और दूसरा ग्राहक (5 लोगों का एक प्रतिक्रिया समूह) और तीसरे पक्ष के एनालिटिक्स को स्वयं द्वारा काम पर रखा गया। इसके अलावा, संगठन के पास पहले से ही सूचना सुरक्षा का प्रमुख था (उसने एसओसी का नेतृत्व किया), साथ ही एक पद्धतिविज्ञानी और एक आईटी विभाग, जो इन्वेंट्री में भी शामिल था।

एक अन्य ग्राहक ने पहली पंक्ति में निगरानी समूह के प्रमुख और उपयोगकर्ताओं के साथ बातचीत के लिए जिम्मेदार लोगों की भूमिका को जोड़ा, और निगरानी विशेषज्ञों की संख्या को भी बढ़ाकर आठ कर दिया। दूसरी पंक्ति में, तीन कर्मचारी परिणाम के उन्मूलन के लिए जिम्मेदार थे, लेकिन फोरेंसिक विशेषज्ञ को काम पर रखा गया था। इस कंपनी में GosSOPKA केंद्र की टीम की कुल संख्या 20 लोग थे।

अंततः, केंद्र का कर्मचारी आपके एसओसी के विकास के प्रमुख वैक्टर पर निर्भर करता है, जो घटनाओं के विश्लेषण के दौरान निर्धारित और समायोजित किए जाते हैं। उसी समय, विशेष रूप से प्रारंभिक चरणों में, लाइसेंस और कर्मियों के स्केलिंग "परीक्षण" के लिए सेवा प्रदाता की क्षमताओं का उपयोग करना उचित है। इस मामले में, आप अनावश्यक पूंजी निवेश से बचते हुए संसाधन आवश्यकताओं का अधिक सटीक आकलन करने में सक्षम होंगे। उदाहरण के लिए, ग्राहकों में से एक ने हमें केंद्र के सभी परिचालन कार्यों को दिया, और केवल एनसीसीएससी (घटनाओं के बारे में रिपोर्ट भेजना) के साथ बातचीत को पीछे छोड़ दिया।

यदि हम निगरानी के लिए ग्राहक के बुनियादी ढांचे को अपनाने के लिए हमारी मानक योजना के बारे में बात करते हैं, तो ग्राहक के पक्ष में, एक नियम के रूप में, निम्न हैं:

• दो कर्मचारी जो सौर जेएसओसी निगरानी टीम से संदेश प्राप्त करते हैं और हमारी सिफारिशों के अनुसार घटनाओं का जवाब देते हैं।
• एक भेद्यता स्कैनिंग विशेषज्ञ।
• सेवा प्रबंधन प्रबंधक।

लेकिन हर किसी के पास राज्य सामाजिक सुरक्षा एजेंसी के केंद्र के निर्माण का अपना तरीका है, और हमें उम्मीद है कि इस लेख ने आपको निर्णय लेने में मदद की।