Incydent bezpieczeństwa to zdarzenie, które narusza lub może naruszyć poufność, integralność albo dostępność informacji i systemów. Może nim być zarówno ransomware, phishing i nieautoryzowany dostęp, jak i awaria, błąd pracownika czy utrata urządzenia z danymi. Samo wykrycie nietypowej aktywności nie zawsze oznacza jeszcze incydent. Zdarzenie staje się nim wtedy, gdy wpływa na bezpieczeństwo albo wymaga reakcji organizacji.
Czym jest incydent bezpieczeństwa?
Podstawą oceny incydentu jest triada CIA. Poufność oznacza, że informacje są dostępne wyłącznie dla uprawnionych osób. Integralność odnosi się do ich kompletności i niezmienności, a dostępność – do możliwości korzystania z danych i usług wtedy, gdy są potrzebne.
Zdarzenie (event) jest pojedynczą obserwacją w systemie, na przykład nieudaną próbą logowania, alarmem zapory sieciowej lub nietypowym ruchem. Nie każde takie zdarzenie narusza bezpieczeństwo. Incydent pojawia się wtedy, gdy zdarzenie lub seria zdarzeń powoduje albo może spowodować naruszenie CIA, zakłócenie działania usługi lub konieczność podjęcia działań ochronnych.
Jakie są rodzaje incydentów bezpieczeństwa?
Incydenty można klasyfikować według sposobu ataku, źródła problemu albo rodzaju naruszonego zasobu. W praktyce jedna sytuacja może należeć do kilku kategorii, na przykład phishing może doprowadzić do nieautoryzowanego dostępu, a następnie do wycieku danych.
Najczęściej spotykane grupy incydentów obejmują:
- Złośliwe oprogramowanie – wirusy, trojany, spyware i ransomware. Ten ostatni szyfruje dane lub blokuje systemy, a sprawcy żądają zapłaty za przywrócenie dostępu.
- Socjotechnikę – phishing, vishing, smishing oraz inne metody manipulowania użytkownikiem w celu wyłudzenia danych logowania, pieniędzy albo wykonania określonej operacji.
- Nieautoryzowany dostęp – przejęcie konta, wykorzystanie skradzionych danych uwierzytelniających, eskalację uprawnień lub wejście do systemu bez zgody właściciela.
- Naruszenie poufności – ujawnienie danych osobowych, informacji handlowych, haseł albo dokumentów osobie nieuprawnionej.
- Naruszenie integralności – nieuprawnioną zmianę danych, konfiguracji, kodu aplikacji lub dokumentów.
- Utrudnienie dostępności – ataki DDoS, szyfrowanie plików, przeciążenie usług, awarie sprzętu lub oprogramowania oraz inne sytuacje powodujące przerwę w działaniu.
- Błędy ludzkie i naruszenia procedur – wysłanie pliku do niewłaściwego odbiorcy, błędną konfigurację uprawnień, utratę laptopa lub nośnika danych oraz użycie niesprawdzonych aplikacji.
- Awarie i incydenty fizyczne – uszkodzenie serwera, przerwę w zasilaniu, zalanie serwerowni, kradzież sprzętu albo niedostępność centrum danych.
Jak klasyfikować incydenty w świetle KSC?
Ustawa o krajowym systemie cyberbezpieczeństwa rozróżnia kilka poziomów incydentów. W codziennej praktyce organizacja może wykryć i opisać zdarzenie, natomiast formalna kwalifikacja zależy od rodzaju podmiotu, wpływu na usługę oraz właściwości danego zespołu CSIRT.
| Poziom lub rodzaj | Definicja | Kto klasyfikuje? | Termin zgłoszenia |
|---|---|---|---|
| Incydent | Zdarzenie, które ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo. | Organizacja dokonuje oceny na potrzeby obsługi i dokumentacji. | Zależy od przepisów dotyczących podmiotu i charakteru zdarzenia. |
| Incydent poważny | Powoduje lub może spowodować poważne obniżenie jakości albo przerwanie ciągłości świadczenia usługi kluczowej. | Co do zasady operator usługi kluczowej, według kryteriów ustawowych i wykonawczych. | Do właściwego CSIRT co do zasady nie później niż w ciągu 24 godzin od wykrycia. |
| Incydent istotny | Ma istotny wpływ na świadczenie usługi cyfrowej. | Dostawca usługi cyfrowej, zgodnie z właściwymi kryteriami. | Termin wynika z właściwych przepisów i procedur dla danego podmiotu. |
| Incydent w podmiocie publicznym | Powoduje lub może spowodować obniżenie jakości albo przerwanie realizacji zadania publicznego. | Podmiot publiczny. | Zgodnie z obowiązkami podmiotu, w tym zasadniczo w ciągu 24 godzin do właściwego CSIRT. |
| Incydent krytyczny | Skutkuje znaczną szkodą dla bezpieczeństwa lub porządku publicznego, gospodarki, działania instytucji publicznych, praw i wolności obywatelskich albo życia i zdrowia ludzi. | Właściwy CSIRT poziomu krajowego, czyli CSIRT NASK, CSIRT GOV albo CSIRT MON. | Wymaga niezwłocznej obsługi i zgłoszenia zgodnie z właściwymi przepisami. |
Incydent poważny i krytyczny nie oznaczają tego samego. Poważny odnosi się przede wszystkim do wpływu na usługę kluczową. Krytyczny ma szerszy, znacznie poważniejszy skutek dla bezpieczeństwa publicznego, gospodarki, państwa lub życia i zdrowia ludzi. Zgłaszający może początkowo zakwalifikować sytuację jako poważną, a właściwy CSIRT może później zmienić jej klasyfikację.
Właściwy kanał zależy od podmiotu i zakresu jego działania. W systemie krajowym funkcjonują CSIRT NASK, CSIRT GOV i CSIRT MON. CSIRT NASK obsługuje między innymi podmioty, które nie podlegają właściwości dwóch pozostałych zespołów. Nie należy jednak automatycznie zakładać, że każdy incydent firmy prywatnej zgłasza się właśnie tam. Organizacja powinna sprawdzić swoją constituency, sektorowe procedury i aktualne wymagania.
Jak przebiega zarządzanie incydentem?
Obsługa incydentu powinna łączyć szybkość reakcji z zachowaniem dowodów i dokumentacji. Zbyt późna izolacja może zwiększyć skalę szkód, ale pochopne wyłączenie urządzeń może utrudnić analizę.
- Wykrycie i analiza – potwierdź, czy alarm wskazuje na realne naruszenie, ustal dotknięte systemy, zakres zdarzenia i jego potencjalny wpływ.
- Izolacja – ogranicz możliwość dalszego rozprzestrzeniania się zagrożenia, na przykład przez odłączenie zainfekowanego urządzenia od sieci lub zablokowanie przejętego konta.
- Usunięcie przyczyny – usuń złośliwe pliki, zamknij wykorzystaną lukę, unieważnij skradzione dane dostępowe i zabezpiecz system przed ponownym wejściem.
- Przywrócenie usług – odtwórz działanie z wiarygodnych kopii, zweryfikuj integralność danych i monitoruj środowisko po uruchomieniu.
- Analiza powypadkowa – ustal źródło problemu, oceń skuteczność reakcji i wprowadź zmiany w procedurach, szkoleniach oraz zabezpieczeniach.
Każdy incydent powinien trafić do wewnętrznego rejestru, także wtedy, gdy nie podlega zgłoszeniu zewnętrznemu. Dokumentacja ułatwia ocenę powtarzających się problemów, rozliczenie decyzji i przygotowanie informacji dla organu nadzorczego lub CSIRT.
Jak rozpoznać incydent bezpieczeństwa?
Pojedynczy symptom nie przesądza jeszcze o naruszeniu, ale kilka sygnałów występujących jednocześnie powinno uruchomić procedurę weryfikacji:
| Symptom | Przykładowy atak lub przyczyna |
|---|---|
| Nietypowy ruch sieciowy | Eksfiltracja danych, komunikacja z serwerem sterującym lub atak DDoS. |
| Nagła blokada kont albo zmiana uprawnień | Przejęcie tożsamości, eskalacja uprawnień lub działanie administratora bez autoryzacji. |
| Wyraźne spowolnienie systemów | Infekcja złośliwym oprogramowaniem, szyfrowanie danych lub przeciążenie usługi. |
| Nieznane pliki i zmiany w dokumentach | Ransomware, nieautoryzowana modyfikacja albo błąd konfiguracji. |
| Logowania z nietypowych lokalizacji lub godzin | Wykorzystanie skradzionych danych uwierzytelniających. |
Jakie są obowiązki raportowania według KSC i RODO?
RODO dotyczy naruszeń ochrony danych osobowych. Administrator zgłasza naruszenie Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, aby powodowało ono ryzyko dla praw i wolności osób fizycznych. Jeżeli ryzyko jest wysokie, może powstać także obowiązek zawiadomienia osób, których dane dotyczą.
KSC ustanawia odrębne obowiązki dla określonych podmiotów i rodzajów usług. Operatorzy usług kluczowych zgłaszają incydenty poważne właściwemu CSIRT co do zasady w ciągu 24 godzin od wykrycia. Dla innych podmiotów, w tym podmiotów objętych nowszymi regulacjami dotyczącymi cyberbezpieczeństwa, mogą obowiązywać mechanizmy wczesnego ostrzegania w ciągu 24 godzin, pełne zgłoszenie w ciągu 72 godzin oraz raport końcowy w późniejszym terminie. Konkretne obowiązki trzeba ustalić na podstawie aktualnego statusu podmiotu i przepisów, które go obejmują.
Jedno zdarzenie może uruchomić oba reżimy. Na przykład ransomware, który ujawnił dane klientów i przerwał świadczenie usługi, może wymagać zgłoszenia do UODO oraz do właściwego CSIRT. Zgłoszenie do jednego organu nie zastępuje drugiego.
Zgłoszenie powinno zawierać informacje pozwalające szybko ocenić zakres i skutki zdarzenia:
- dane identyfikacyjne podmiotu oraz osoby kontaktowej,
- czas wykrycia i opis przebiegu incydentu,
- rodzaj podejrzanego ataku lub naruszenia,
- dotknięte systemy, usługi i kategorie danych,
- wpływ na ciągłość działania, użytkowników i osoby fizyczne,
- działania izolujące, naprawcze i przywracające,
- informację o potrzebnym wsparciu oraz możliwym wpływie na inne państwa.
Organizacja powinna także prowadzić dokumentację wewnętrzną incydentów, decyzji i działań naprawczych. Brak obowiązku zgłoszenia na zewnątrz nie oznacza, że zdarzenie można pominąć w rejestrze.
FAQ
Co zrobić w pierwszej minucie po wykryciu incydentu?
Powiadom osobę lub zespół odpowiedzialny za bezpieczeństwo, nie usuwaj pochopnie plików ani logów i ogranicz rozprzestrzenianie się zagrożenia zgodnie z procedurą. W przypadku zainfekowanego urządzenia może być konieczne odłączenie go od sieci, ale nie zawsze należy je wyłączać, ponieważ może to zniszczyć istotne dane ulotne.
Czy każdy błąd pracownika jest incydentem?
Nie. Błąd jest incydentem wtedy, gdy doprowadził albo mógł doprowadzić do naruszenia poufności, integralności lub dostępności informacji. Błędne wysłanie dokumentu do nieuprawnionego odbiorcy może więc być incydentem, natomiast literówka w pliku pozbawiona wpływu na bezpieczeństwo zwykle nim nie jest.
Jakie kary grożą za brak zgłoszenia?
Konsekwencje zależą od podstawy prawnej, statusu podmiotu, rodzaju naruszenia i zakresu zaniechania. Mogą obejmować administracyjne kary pieniężne, działania nadzorcze, odpowiedzialność za naruszenie ochrony danych oraz skutki cywilne lub organizacyjne. Nie istnieje jedna uniwersalna kara dla wszystkich incydentów, dlatego ocenę trzeba przeprowadzić na tle konkretnego przepisu i roli organizacji.
Czy trzeba zgłaszać każdy incydent do CSIRT?
Nie każdy incydent podlega zgłoszeniu zewnętrznemu. Każdy powinien jednak zostać oceniony i udokumentowany. Obowiązek raportowania zależy między innymi od rodzaju podmiotu, wpływu incydentu na usługę, charakteru danych oraz właściwych przepisów sektorowych.
Najbezpieczniejsze podejście polega na tym, by nie czekać z oceną do pełnego ustalenia wszystkich faktów. Najpierw ogranicz skutki, zabezpiecz informacje i uruchom ścieżkę eskalacji, a następnie uzupełniaj zgłoszenie wraz z postępem analizy. Takie działanie zwiększa szansę na dotrzymanie terminów i poprawia jakość późniejszych wniosków.
Treść ma charakter informacyjny i nie stanowi porady prawnej. Obowiązki oraz terminy zgłaszania incydentów zależą od aktualnego brzmienia przepisów, statusu podmiotu i rodzaju zdarzenia. W sytuacji incydentu należy skonsultować działania z osobą odpowiedzialną za bezpieczeństwo, ochronę danych lub obsługę prawną.
