ISO/IEC 27035-2:2023 — 事件管理 — 规划与准备

准备是有效事件管理的基石。ISO/IEC 27035-2:2023 为信息安全事件的规划和准备
提供了全面指南。该标准认识到，在政策制定、团队建设、工具选择和培训等方面
进行了充分准备的组织，在事件发生时能显著降低影响和成本。

建立事件管理政策

标准要求组织制定、记录并传达事件管理政策，该政策应反映组织的风险偏好、
法律义务和业务目标。政策应定义事件管理活动的范围、角色和职责、升级标准
以及与其他管理系统的接口。政策必须由最高管理层批准，并定期审查以跟上
不断演变的威胁环境。

政策的关键要素包括：按严重性和影响对事件进行分类的方案；检测、响应和
恢复的服务水平目标；法证证据的数据保留和监管链要求；以及内部和外部
利益相关者的沟通协议。标准强调政策应为活文档，根据事件经验教训以及
组织或威胁环境的变化进行修订。

组建和装备事件响应团队

ISO/IEC 27035-2 提供了关于建立事件响应团队的详细指南，无论是作为
专门的计算机安全事件响应团队还是从现有人员中抽调组成的虚拟团队。
标准涉及团队结构、人员配置水平、技能要求和工具选择。关键角色包括
事件经理（总体协调）、技术分析师（取证、恶意软件分析、日志分析）、
通信负责人（利益相关者通知）和法务顾问（法规遵从、特权考虑）。

在工具方面，标准建议采用分层方法：检测工具（SIEM、EDR、NIDS）、
分析工具（取证工作站、数据包捕获、恶意软件沙箱）、协作工具（安全
事件跟踪平台、加密通信渠道）和恢复工具（备份系统、配置管理、补丁
部署）。标准强调工具必须经过测试和维护，而不是仅仅采购后就置之不理。

制定事件响应计划和程序

标准要求制定详细的、针对特定场景的响应计划，涵盖常见事件类型：
恶意软件爆发、未授权访问、数据泄露、拒绝服务、内部威胁和供应链入侵。
每个计划应包括检测、遏制、根除、恢复和事件后活动的逐步程序。
计划必须文档化、可访问（包括离线访问）并定期更新。

标准强调的一个常被忽视的方面是计划维护的重要性。
技术环境在变化、人员更替、威胁行为者在演进其战术。ISO/IEC 27035-2
建议至少每年进行一次正式审查，并在 IT 基础设施、威胁态势或监管要求
发生重大变化时触发临时审查。事件计划的版本控制和变更管理对于确保
所有团队成员都使用当前批准的文档至关重要。

常见问题