Nie tylko formalność 

Zgłoszenie incydentu nie powinno być traktowane jako czynność wykonywana wyłącznie na potrzeby zgodności z przepisami. Informacje o zdarzeniu mogą pomóc w określeniu jego skali, rozpoznaniu źródła zagrożenia i ograniczeniu dalszych szkód. Umożliwiają również wymianę wiedzy pomiędzy organizacją a Zespołami Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT-ami). 

Dlatego procedura zgłaszania powinna być częścią codziennego funkcjonowania organizacji, a nie dokumentem, do którego zagląda się dopiero w sytuacji kryzysowej. 

W praktyce oznacza to konieczność ustalenia, kto przyjmuje informacje o podejrzanych zdarzeniach, kto odpowiada za ich ocenę i kto podejmuje decyzję o dalszym postępowaniu. Pracownicy powinni wiedzieć, gdzie przekazać zgłoszenie, nawet jeśli nie potrafią samodzielnie ocenić, czy doszło do incydentu podlegającego raportowaniu. 

Kiedy trzeba zgłosić incydent? 

Ustawa o krajowym systemie cyberbezpieczeństwa przewiduje obowiązki związane ze zgłaszaniem incydentów poważnych przez podmioty kluczowe i podmioty ważne. Istotne znaczenie ma nie tylko wykrycie zdarzenia, ale także jego właściwa kwalifikacja. 

Nie każda awaria czy nieudana próba logowania automatycznie oznacza incydent poważny. Ocena powinna uwzględniać między innymi wpływ zdarzenia na świadczone usługi, jego zasięg, czas trwania oraz możliwe konsekwencje dla organizacji i odbiorców jej usług. 

Zgłaszanie incydentów do CSIRT-u sektorowego i raportowanie regulują art. 11 ust. 1 pkt 4, 4a, 4b, 4c, art. 46 ust. 1, art. 12, art. 12a oraz art. 12b ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0). 

Trzy etapy raportowania 

W przypadku incydentu poważnego procedura obejmuje trzy główne etapy. Każdy z nich służy innemu celowi i wymaga przygotowania odpowiednich informacji. 

1. Wczesne ostrzeżenie: do 24 godzin od wykrycia incydentu

Pierwsza informacja ma umożliwić szybkie powiadomienie właściwego zespołu reagowania. Powinna obejmować podstawowe dane organizacji, informacje kontaktowe, dostępne ustalenia dotyczące momentu wystąpienia i wykrycia zdarzenia oraz jego możliwego charakteru. 

Jeżeli można to już ocenić, należy również wskazać, czy incydent może mieć związek z działaniem bezprawnym albo wpływać na inne państwa członkowskie Unii Europejskiej. Na tym etapie nie zawsze będzie możliwe udzielenie odpowiedzi na wszystkie pytania – ważne jest jednak przekazanie dostępnych informacji w wymaganym terminie. 

2. Zgłoszenie incydentu poważnego: do 72 godzin od wykrycia

Kolejny etap służy dokładniejszemu przedstawieniu sytuacji. Organizacja przekazuje informacje o wpływie incydentu na świadczone usługi, jego prawdopodobnych przyczynach i przebiegu, przewidywanych konsekwencjach oraz działaniach podjętych w celu ograniczenia szkód. 

Jeżeli pojawiły się nowe ustalenia, należy zaktualizować wcześniej przekazane dane. Raportowanie nie powinno kończyć się na pierwszym komunikacie – informacje trzeba uzupełniać w miarę postępu analizy. 

3. Sprawozdanie końcowe: do miesiąca od zgłoszenia incydentu poważnego

Po zakończeniu obsługi zdarzenia przygotowuje się podsumowanie obejmujące jego przebieg, skutki, źródło lub prawdopodobną przyczynę oraz działania naprawcze i środki ograniczające ryzyko podobnych sytuacji w przyszłości. 

To również moment na uporządkowanie wniosków. Analiza powinna pomóc ustalić, które zabezpieczenia zadziałały prawidłowo, gdzie pojawiły się trudności i jakie zmiany są potrzebne, aby zwiększyć poziom bezpieczeństwa. 

Jeżeli obsługa incydentu nie zakończy się w ciągu miesiąca od zgłoszenia, podmiot przekazuje sprawozdanie z postępu prac. Sprawozdanie końcowe należy wówczas przekazać nie później niż w ciągu miesiąca od zakończenia obsługi incydentu. 

 

Opisany tryb raportowania należy stosować z uwzględnieniem wyjątków przewidzianych w ustawie. Przykładowo, do podmiotu ważnego będącego podmiotem publicznym nie stosuje się obowiązków przekazywania wczesnego ostrzeżenia i wskazanych sprawozdań. Przed wdrożeniem procedury organizacja powinna ustalić, które przepisy mają zastosowanie do jej statusu i rodzaju działalności. 

System S46 i współpraca z CSIRT-em 

Zgłoszenia incydentów objętych omawianym trybem przekazuje się za pośrednictwem Systemu S46. Platforma wspiera raportowanie oraz wymianę informacji pomiędzy podmiotami a właściwymi zespołami reagowania na incydenty,  

Samo wysłanie zgłoszenia nie oznacza jednak końca obowiązków organizacji. Istotna jest również współpraca z właściwym CSIRT-em, w tym przekazywanie dodatkowych informacji, udzielanie wyjaśnień i danych technicznych oraz uwzględnianie zaleceń dotyczących obsługi incydentu. 

W praktyce warto wcześniej sprawdzić, kto w organizacji ma dostęp do systemu, kto może dokonywać zgłoszeń i kto przejmie te zadania w przypadku nieobecności osoby odpowiedzialnej. W sytuacji kryzysowej brak dostępu do narzędzia lub niejasny podział obowiązków może niepotrzebnie wydłużyć proces raportowania. 

Przygotowanie zaczyna się przed incydentem 

Sprawne zgłoszenie wymaga wcześniejszego przygotowania. Organizacja powinna posiadać procedurę określającą sposób wykrywania, oceny, klasyfikacji i raportowania incydentów. Powinna ona uwzględniać wymagane terminy, zasady dokumentowania zdarzeń, sposób komunikacji z kierownictwem oraz współpracę z właściwym CSIRT-em. 

Ważne jest również zabezpieczenie informacji niezbędnych do analizy zdarzenia, w tym logów systemowych i danych dotyczących podjętych działań. Ich gromadzenie i zabezpieczenie może mieć znaczenie dla odtworzenia przebiegu zdarzenia oraz ustalenia jego przyczyn. 

Nie mniej istotne jest przećwiczenie całego procesu. Symulacja incydentu pozwala sprawdzić, czy pracownicy wiedzą, do kogo się zwrócić, czy osoby odpowiedzialne potrafią przygotować zgłoszenie i czy organizacja jest w stanie zebrać potrzebne informacje w krótkim czasie. Jest to także okazja do sprawdzenia gotowości organizacji do działania w warunkach niepewności, co często ma miejsce podczas rzeczywistych incydentów. 

Warto zatem pamiętać, że samo zgłoszenie incydentu do właściwego CSIRT-u stanowi jeden z etapów jego obsługi, a równie istotne są wcześniejsze działania związane z wykrywaniem, oceną i wewnętrznym obiegiem informacji w organizacji. 

Co może utrudnić zgłaszanie incydentu? 

Problemy z raportowaniem często nie wynikają wyłącznie z ograniczeń technicznych. Równie istotne bywają niejasne procedury, brak zastępstw, niedostateczna dokumentacja czy przekonanie, że nie warto zgłaszać zdarzenia, które nie spowodowało widocznych szkód. 

Takie podejście może prowadzić do opóźnień, utrudniać ustalenie rzeczywistej skali incydentu i ograniczać możliwość uzyskania wsparcia. Ryzykiem jest również utrata ważnych informacji, jeśli działania nie są dokumentowane od samego początku. 

Realizacja obowiązków związanych z obsługą i zgłaszaniem incydentów wymaga określenia w organizacji ról, odpowiedzialności i ścieżek komunikacji. Pracownicy powinni wiedzieć, w jaki sposób zgłaszać podejrzane zdarzenia, aby mogły one zostać poddane analizie i, w razie potrzeby, zgłoszone zgodnie z obowiązującymi przepisami. 

Trudności w tym obszarze mogą wynikać z braku regularnych ćwiczeń – dlatego warto okresowo organizować symulacje incydentów, które pozwalają sprawdzić zarówno znajomość procedur, jak i praktyczne funkcjonowanie przyjętych rozwiązań organizacyjnych. Dzięki nim można wcześniej wykryć niejasności dotyczące zakresu odpowiedzialności, przepływu informacji czy sposobu dokumentowania zdarzeń. Ćwiczenia pozwalają również ocenić, czy organizacja jest w stanie w wymaganym czasie zgromadzić informacje niezbędne do analizy incydentu i przygotowania zgłoszenia. 

Od zgłoszenia do lepszego bezpieczeństwa 

Prawidłowe raportowanie pomaga nie tylko obsłużyć konkretne zdarzenie, lecz także poprawiać sposób zarządzania cyberbezpieczeństwem. Informacje zgromadzone podczas incydentu mogą ujawnić słabe punkty procedur, braki w zabezpieczeniach lub obszary wymagające dodatkowych szkoleń. 

Po zakończeniu obsługi incydentu warto przeprowadzić analizę jego przebiegu i ocenić skuteczność zastosowanych procedur oraz mechanizmów bezpieczeństwa. Pozwala to zidentyfikować obszary wymagające usprawnienia, zaktualizować procesy, doprecyzować zakres odpowiedzialności oraz wzmocnić środki ochrony. Dzięki temu organizacja nie tylko przywraca ciągłość działania, ale również zwiększa swoją odporność na przyszłe zagrożenia. 

Skuteczne zgłaszanie incydentów zaczyna się od przygotowania, a kończy na wdrożeniu wniosków. Jasne zasady, odpowiedzialne osoby i znajomość obowiązujących terminów pomagają ograniczać skutki zagrożeń oraz budować odporność organizacji na kolejne zdarzenia. 

Więcej informacji o obowiązkach wynikających z KSC 2.0 można znaleźć w publikacji NASK „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa”. 

 

 

Artykuł wyraża jedynie poglądy autora/autorów i nie może być utożsamiany
z oficjalnym stanowiskiem Ministerstwa Cyfryzacji