11. Рекомендации к компетенции персонала организации БС РФ и (или) иных внешних организаций, задействованных в процессах обработки технических данных
11. Рекомендации к компетенции персонала организации БС РФ и (или) иных внешних организаций, задействованных в процессах обработки технических данных 
11.1. Организации БС РФ рекомендуется обеспечить наличие должной компетенции работников и (или) привлеченных специалистов для выполнения деятельности по сбору технических данных, поиску (выделению) содержательной (семантической) информации и анализу. Работники организации БС РФ, задействованные в сборе и обработке технических данных, должны:
- получить необходимые знания своих функций, прав и обязанностей, связанных со сбором и обработкой технических данных в рамках реагирования на инциденты ИБ;
- получить необходимые технические знания в части:
- возможного состава собираемых технических данных;
- условий возникновения необходимости сбора технических данных;
- возможного состава объектов информационной инфраструктуры организации БС РФ, являющихся объектами сбора технических данных;
- реализации технологических и технических процедур обработки технических данных в рамках реагирования на инциденты ИБ, использования необходимых технических средств и инструментов;
- установленных ограничений на выполнение отдельных процедур и сервисных команд, способных повредить и (или) уничтожить собираемые технические данные;
- получить необходимые знания в части состава и содержания принципов и процедур сбора и обработки технических данных, направленных на обеспечение относимости собранных и обрабатываемых технических данных к конкретному инциденту ИБ;
- получить необходимые знания в части состава и содержания принципов и процедур сбора и обработки технических данных, направленных на обеспечение сохранности (нераспространение) информации, защищаемой в соответствии с требованиями законодательства РФ, в том числе содержащей банковскую тайну и персональные данные.
Отдельное внимание организации БС РФ должно быть уделено вопросам регламентации и доведения до соответствующих работников организации БС РФ правил сбора технических данных с объектов информационной инфраструктуры, критичных для обеспечения непрерывности деятельности организации БС РФ, в том числе условиям возможного отключения и (или) выведения из штатного режима функционирования указанных объектов.
11.2. Организации БС РФ рекомендуется обеспечить наличие следующих знаний и компетенции аналитиков, выполняющих поиск (выделение) и анализ содержательной (семантической) информации:
- глубокое знание и понимание способов организации хранения технических данных в файловых системах для разных типов носителей информации (разделение на логические тома, логическое форматирование файловых систем, способов организации хранения файлов и директорий), которые потенциально могут быть источниками значимой (семантической) информации. К таким носителям информации могут быть отнесены:
- накопители на жестких магнитных дисках;
- накопители на гибких магнитных дисках (флоппи-диски);
- носители информации портативных компьютеров (планшетов), мобильных телефонов;
- CD-диски, DVD-диски;
- флеш-карты;
- оптические накопители;
- карты памяти (в том числе SD, PC Card, CF, MMC, Memory Stick).
Для получения дополнительной информации о составе возможных носителей информации и соответствующих файловых системах возможно использование рекомендаций, определенных в разделах 4.1.1 "File Storage Media" и 4.1.2 "FileSystems" NIST 800-86 Guide to Integrating Forensic Techniques into Incident Response [3];
- глубокое знание и понимание способов организации хранения как минимум в следующих файловых системах:
- операционные системы Windows и их файловые системы: FAT16, FAT32, NTFS;
- операционные системы Unix, Linux и их файловые системы: Unix File System (UFS), Second Extended Filesystem (ext2fs), Third Extended Filesystem (ext3fs), ReiserFS;
- операционная система MacOs и ее файловая система: Hierarchical File System (HFS), HFS Plus;
- CD-диски: Compact Disc File System (CDFS), ISO 9660, Joliet;
- DVD-диски: Universal Disc Format (UDF);
- глубокое понимание сетевых протоколов передачи данных TCP/IP и принципов их инкапсуляции:
- протоколов прикладного уровня, в том числе протоколов DNS, FTP, HTTP, SMTP, POP3, IMAP, SNMP;
- протоколов транспортного уровня, в том числе протоколов TCP, UDP, ICMP;
- протоколов сетевого уровня, в том числе протоколов IPv4, IPv6, IPSec;
- протоколов маршрутизации, в том числе протоколов RIP, OSPF, BGP;
- протоколов канального и физического уровня, в том числе протокола Ethernet и семейства протоколов 802.11;
- знание и понимание угроз ИБ, связанных с использованием вычислительных сетей, способов и техник реализации сетевых атак;
- знание и понимание организации вычислительных сетей (сетевой топологии) организации БС РФ, в том числе знание и понимание:
- сетевой архитектуры организации БС РФ;
- используемого организацией БС РФ сетевого и телекоммуникационного оборудования;
- IP-адресов ключевых (критических) программных сервисов, в первую очередь используемых для осуществления переводов денежных средств;
- номера используемых сетевых портов (ports) ключевых (критических) программных сервисов, в первую очередь используемых для осуществления переводов денежных средств;
- глубокое знание и понимание возможного содержания данных операционных систем, эксплуатируемых в пределах информационной инфраструктуры организации БС РФ:
- порядка загрузки операционных систем Windows, Linux и мобильных операционных систем;
- состава и возможного содержания конфигурационных файлов данных операционных систем;
- состава и возможного содержания протоколов (журналов) регистрации операционных систем
- структуры и информации реестра операционной системы Windows;
- состава и возможного содержания информации, содержащейся в неиспользуемых областях в пределах логических страниц или блоков выделения пространства оперативной памяти (memory slack space);
- состав и возможное содержание информации, расположенной в неиспользуемом пространстве оперативной памяти (memory free space, garbage);
- состав и возможное содержание информации о сетевых конфигурациях, сетевых соединениях, запущенных программных процессах, открытых сессиях доступа;
- знание и понимание организации и правил эксплуатации информационной инфраструктуры организации БС РФ:
- состава СВТ и серверного оборудования;
- состава, правил размещения, возможного содержания протоколов (журналов) регистрации операционных систем, системного программного обеспечения, СУБД, почтовых серверов, web-серверов;
- состава, правил размещения, возможного содержания протоколов (журналов) регистрации средств защиты информации;
- состава, правил размещения, возможного содержания протоколов (журналов) регистрации программного обеспечения целевых систем.
11.3. Организации БС РФ как минимум следует обеспечить наличие должной компетенции работников и (или) привлеченных специалистов для выполнения деятельности по обеспечению наличия, хранения и сбора технических данных. В случае существенных инцидентов ИБ и отсутствия должной компетенции работников организации БС РФ к проведению необходимого выделения и анализа содержательной (семантической) информации организации БС РФ может быть рекомендовано обращение в FinCert Банка России. Соответствующий запрос с описанием инцидента ИБ - профиля инцидента ИБ, сформированного в соответствии с пунктом 6.1 настоящего стандарта, следует направить на электронный адрес fincert@cbr.ru.
