Оператором персональных данных должен осуществляться мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них.
Мониторинг (просмотр и анализ) записей регистрации (аудита) должен проводиться для всех событий, подлежащих регистрации в соответствии с РСБ.1, и с периодичностью, установленной оператором персональных данных, и обеспечивающей своевременное выявление признаков инцидентов безопасности в информационной системе персональных данных (ИСПДн).
В случае выявление признаков инцидентов безопасности в ИСПДн осуществляется планирование и проведение мероприятий по реагированию на выявленные инциденты безопасности.
Правила и процедуры мониторинга результатов регистрации событий безопасности и реагирования на них регламентируются в организационно-распорядительных документах оператора персональных данных по защите персональных данных.
Требования к усилению РСБ.5:
1) в ИСПДн должны обеспечиваться интеграция результатов мониторинга (просмотра и анализа) записей регистрации (аудита) из разных источников (журналов, хранилищ информации о событиях безопасности) и их корреляция с целью выявления инцидентов безопасности и реагирования на них;
2) в ИСПДН обеспечивается интеграция процессов мониторинга (просмотра, анализа) результатов регистрации событий безопасности с результатами анализа уязвимостей, проводимого в соответствии с АНЗ.1, и результатами обнаружения вторжений, проводимого в соответствии с СОВ.1 с целью усиления возможностей по выявлению признаков инцидентов безопасности;
3) в ИСПДн обеспечивается полнотекстовый анализ привилегированных команд;
4) оператором персональных данных обеспечивается анализ записанных сетевых потоков (дампов).
Содержание базовой меры РСБ.5:
| Мера защиты персональных данных | Уровень защищенности персональных данных | |||
| 4 | 3 | 2 | 1 | |
| РСБ.5 | + | + | ||
| Усиление РСБ.5 | 1 | |||