Po incydencie
Dwa incydenty, różne skutki prawne
Autor: Paweł Walkowski
Przy poważnym incydencie wczesne ostrzeżenie trzeba wysłać w ciągu 24 godzin, pełne zgłoszenie w 72 godzinach, a sprawozdanie końcowe do miesiąca od zgłoszenia 72 h. Zegar rusza od wykrycia, nie od zakończenia ustaleń w firmie.
Oba zaczynają się podobnie. Kończą się w zupełnie innym miejscu. Poniżej dwa przykłady z ostatnich miesięcy - różni je nie atakujący, tylko to, co firma zrobiła wcześniej.
Dwa przypadki obok siebie
Drobny: zaszyfrowany komputer po fałszywej fakturze
Kliknięcie w załącznik, zaszyfrowany komputer. Dane leżą na dysku sieciowym, więc nie przepadają. Wymiana sprzętu i powrót do pracy tego samego dnia.
Co zdecydowało: kopie leżały poza zaatakowanym sprzętem, a ktoś wcześniej sprawdził, że da się z nich odtworzyć dane.
Poważny: włamanie przez nieaktualną drukarkę sieciową
Duża firma transportowa. Włamanie przez oprogramowanie zwykłej drukarki, nieaktualizowane od lat. Skutek: utrata kilku dni kopii zapasowych.
Czego zabrakło: listy urządzeń w sieci i łatania ich po kolei. Drukarki na tej liście nie było.
Co decyduje o różnicy
Różnicy nie robi umiejętność atakującego, tylko to, co było zrobione wcześniej. W obu przypadkach wejście było banalne. Rozeszło się na tym, czy firma miała kopie poza zaatakowanym sprzętem i czy ktoś je kiedykolwiek odtworzył na próbę.
To jest różnica między incydentem, który kosztuje dzień pracy, a incydentem, który uruchamia zegar zgłoszenia, którego nie da się już zatrzymać.
Terminy zgłoszenia: 24 h, 72 h, miesiąc
Diagram powyżej zbiera trzy kroki zegara. Tabela poniżej - jeśli wolisz czytać w wierszach.
| Kiedy | Co |
|---|---|
| do 24 h | Wczesne ostrzeżenie |
| do 72 h | Pełne zgłoszenie incydentu |
| do miesiąca od zgłoszenia 72 h | Sprawozdanie końcowe |
Kanałem zgłoszenia jest system S46.
Gdy obsługa incydentu po miesiącu wciąż trwa, zamiast sprawozdania końcowego idzie raport postępów, powtarzany co miesiąc. Sprawozdanie końcowe składa się wtedy miesiąc po zakończeniu obsługi. Raport pośredni jest dobrowolny i składany tylko na wniosek CSIRT albo organu nadzoru, nie po każdym incydencie.
Co przygotować, zanim zadzwoni telefon
Trzy rzeczy, których nie da się załatwić w trakcie incydentu:
- Lista urządzeń w sieci, razem z tymi, o których nikt nie myśli jak o komputerach.
- Kopie zapasowe poza zaatakowanym sprzętem, sprawdzone przez odtworzenie, nie przez zajrzenie, czy plik istnieje.
- Jedna osoba z mandatem do uruchomienia zgłoszenia, wskazana z imienia i nazwiska.
Nie wiesz, czy Twoja firma w ogóle podlega?
Sześć pytań i wiesz, czy temat dotyczy Twojej firmy.
Wolisz najpierw posłuchać? Zapisz się na webinar.
Ekspert / cyberbezpieczeństwo / ISO
Paweł Walkowski
Praktyk cyberbezpieczeństwa i systemów zarządzania. Prowadzi audyty i incydenty, tłumaczy wymagania NIS2/UKSC na decyzje i procesy.
Czytaj dalej
Treść ma charakter informacyjny, nie stanowi porady prawnej. Terminy 24 h / 72 h / miesiąc wynikają z dyrektywy NIS2 (art. 23) - są stabilne, choć polska implementacja może je doprecyzować. Numer Dz.U. wymaga potwierdzenia w ISAP przed publikacją.