В разделе раскрывается значение реагирования на инциденты для объекта информатизации, обрабатывающего конфиденциальную информацию. Обосновывается выбор темы, формулируются проблема, цель, задачи, объект и предмет проекта, а также обозначаются границы рассматриваемой политики и ожидаемый практический результат.

Раздел объясняет различие между событием и инцидентом, рассматривает нарушения конфиденциальности, целостности и доступности информации. Приводятся примеры фишинга, вредоносного программного обеспечения, несанкционированного доступа, утечки данных, ошибок пользователей и отказов технических средств.

Здесь рассматриваются документы и рекомендации, влияющие на разработку политики: законодательство об информации и персональных данных, требования к защите информационных систем, а также международные подходы к управлению инцидентами. Отдельно объясняется необходимость учитывать режим конфиденциальности.

В разделе описывается последовательность реагирования: подготовка, обнаружение, регистрация, анализ, классификация, локализация, устранение, восстановление и итоговый разбор. Для каждого этапа указываются его назначение, необходимые действия, подтверждающие документы и условия перехода к следующему шагу.

Раздел определяет полномочия руководителя, координатора реагирования, специалиста по информационной безопасности, системного администратора и пользователей. Описываются каналы оповещения, порядок эскалации, правила передачи сведений и требования к разграничению доступа при расследовании.

В этом пункте предлагается классифицировать инциденты по источнику, типу воздействия, масштабу и потенциальному ущербу. Формируется матрица приоритетов с признаками низкого, среднего и высокого уровня, сроками реакции, ответственными лицами и условиями обязательного информирования руководства.

Раздел содержит проект основного документа: область действия, термины, правила регистрации сообщений, алгоритмы действий при типовых инцидентах, требования к сохранению журналов и цифровых доказательств. Также устанавливаются порядок восстановления, подготовки отчёта и защиты конфиденциальных сведений.

Здесь рассматривается учебный сценарий фишинговой атаки или заражения рабочего места и показывается применение разработанной политики на практике. Для проверки результата используются контрольные вопросы, время обнаружения, время локализации, полнота регистрации и качество последующего анализа.

В разделе обобщаются результаты разработки политики и оценивается, насколько предложенная модель обеспечивает согласованные действия участников. Формулируются основные преимущества документа, возможные ограничения, направления дальнейшего улучшения, регулярного обучения сотрудников и пересмотра процедур при изменении угроз.

В список включаются нормативные правовые акты Российской Федерации, стандарты и методические рекомендации по управлению инцидентами, защите информации и обработке персональных данных. Источники оформляются единообразно и используются для подтверждения терминов, требований и выбранных процедур.