Baza wiedzy

Nie każdemu cyberatakowi, awarii czy błędowi człowieka uda się zapobiec. Można jednak przygotować organizację tak, aby szybciej zauważyła problem i sprawniej sobie z nim poradziła.

Reagowanie obejmuje rozpoznanie zdarzenia, ocenę sytuacji i podjęcie działań ograniczających jego skutki. Odporność to szersza zdolność do przetrwania zakłócenia: utrzymania najważniejszych procesów, odtworzenia usług i wykorzystania zdobytych doświadczeń.

Skuteczne reagowanie na incydenty cyberbezpieczeństwa zaczyna się od ich odpowiednio wczesnego wykrycia. Zgodnie z art. 8 ust. 1 pkt 2 lit. g ustawy o krajowym systemie cyberbezpieczeństwa (KSC 2.0) podmiot powinien zapewnić ciągłe monitorowanie systemu informacyjnego wykorzystywanego do świadczenia usługi. Uzupełnia go art. 8 ust. 1 pkt 3, który nakłada obowiązek zbierania informacji o cyberzagrożeniach i podatnościach dotyczących wykorzystywanych systemów.

W praktyce chodzi o wychwytywanie sygnałów, które mogą świadczyć o problemie: nietypowych logowań, nieoczekiwanych zmian w systemie czy nagłej niedostępności danych. Potrzebne jest również sprawdzanie, czy pojawiające się ostrzeżenia o nowych zagrożeniach dotyczą oprogramowania i usług wykorzystywanych w organizacji.

Za każdym sygnałem powinien stać ustalony sposób postępowania. Alert niewiele pomoże, jeśli nikt go nie przeanalizuje. Podobnie będzie ze zgłoszeniem pracownika, które trafi do niewłaściwej osoby i pozostanie bez odpowiedzi.

Obowiązek zarządzania incydentami wynika z art. 8 ust. 1 pkt 4 ustawy KSC 2.0. Warto więc wcześniej ustalić, kto odbiera zgłoszenia, kto ocenia ich znaczenie i kto koordynuje dalsze działania. Pracownik powinien wiedzieć, gdzie zgłosić problem, bez konieczności samodzielnego rozstrzygania, czy ma do czynienia z cyberatakiem.

Po wykryciu zagrożenia liczy się sprawna, skoordynowana reakcja. Art. 8 ust. 1 pkt 5 ustawy KSC 2.0 odnosi się do stosowania środków zapobiegających i ograniczających wpływ incydentów na bezpieczeństwo systemu informacyjnego. W szczególności lit. d tego przepisu przewiduje niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub cyberzagrożeń.

Zależnie od sytuacji może być potrzebne odizolowanie urządzenia, zablokowanie przejętego konta albo czasowe ograniczenie działania usługi. Takie decyzje wymagają oceny zarówno zagrożenia, jak i konsekwencji dla organizacji. Trzeba też zadbać o zachowanie logów i innych informacji, które pomogą ustalić przebieg zdarzenia.

W czasie incydentu łatwo o sprzeczne polecenia i działania podejmowane bez wiedzy kluczowych osób. Dlatego warto wcześniej określić, kto podejmuje decyzje, kiedy informowane jest kierownictwo i w jaki sposób zespoły wymieniają informacje. Potrzebne są także zastępstwa i alternatywny sposób kontaktu, gdy firmowa poczta lub komunikator przestaną działać.

Ważne jest również zapewnienie sprawnego kontaktu z podmiotami krajowego systemu cyberbezpieczeństwa. Zgodnie z art. 9 ust. 1 pkt 1 ustawy KSC 2.0 podmiot kluczowy lub ważny wyznacza co najmniej dwie osoby odpowiedzialne za utrzymywanie takich kontaktów. Dla mikro- i małych przedsiębiorców oraz podmiotów ważnych będących podmiotami publicznymi ustawa przewiduje wyznaczenie co najmniej jednej osoby kontaktowej (art. 9 ust. 2 i 3).

W praktyce warto zadbać, aby osoby te znały procedury reagowania i miały dostęp do informacji potrzebnych do współpracy z właściwym CSIRT-em. Jasne ustalenie ich roli i sposobu kontaktu pomaga uniknąć sytuacji, w której podczas incydentu nie wiadomo, kto ma przekazać informacje lub odebrać zalecenia.

Incydent może oznaczać, że przez pewien czas część systemów będzie niedostępna. Organizacja powinna wiedzieć, jak w takich warunkach realizować najważniejsze zadania.

Art. 8 ust. 1 pkt 2 lit. f ustawy KSC 2.0 obejmuje wdrażanie, dokumentowanie, testowanie i utrzymywanie planów ciągłości działania, planów awaryjnych oraz planów odtworzenia działalności.

Przygotowanie tych planów wymaga odpowiedzi na konkretne pytania: które usługi trzeba przywrócić w pierwszej kolejności? Jak długo mogą pozostawać niedostępne? Czy część zadań można czasowo wykonywać inaczej? Jakich osób, danych i narzędzi będzie do tego potrzeba?

Przykładowo, gdy przestaje działać system obsługi klientów, można rozważyć przyjmowanie zgłoszeń innym kanałem. Trzeba jednak ustalić, kto będzie je obsługiwał, jak zostaną zabezpieczone informacje i w jaki sposób trafią później do właściwego systemu. Rozwiązanie zastępcze powinno być przygotowane na tyle dokładnie, aby dało się z niego skorzystać pod presją czasu.

Odtworzenie systemów i usług jest praktycznym elementem realizacji wymagań dotyczących planów wskazanych w art. 8 ust. 1 pkt 2 lit. f. Ważną rolę odgrywają tu kopie zapasowe.

Eksperci zajmujący się cyberbezpieczeństwem podkreślają znaczenie regularnego wykonywania kopii, ich bezpiecznego przechowywania oraz sprawdzania, czy pozwalają odzyskać dane i wznowić pracę. Aktualne i przetestowane kopie pomagają ograniczyć skutki incydentu i skrócić czas przestoju.

Warto sprawdzić możliwość odtworzenia całej usługi. Sama kopia bazy danych może okazać się niewystarczająca, jeśli zabraknie konfiguracji aplikacji, wymaganych uprawnień lub osoby, która potrafi przeprowadzić odtworzenie. Test pozwala wychwycić takie braki i ocenić, ile rzeczywiście potrwa powrót do pracy.

Przed ponownym uruchomieniem systemów trzeba również sprawdzić, czy usunięto przyczynę zdarzenia oraz czy odzyskane dane są poprawne i kompletne. Pośpiech na tym etapie może doprowadzić do kolejnych problemów.

Obowiązek testowania planów wynika z art. 8 ust. 1 pkt 2 lit. f ustawy KSC 2.0. Uzupełnia go art. 8 ust. 1 pkt 2 lit. h, dotyczący polityk i procedur oceny skuteczności środków technicznych i organizacyjnych.

Jednym ze sposobów sprawdzenia przygotowania są ćwiczenia. Na początek można przyjąć prosty scenariusz: najważniejszy system przestaje działać, osoba odpowiedzialna za jego obsługę jest nieobecna, a klienci pytają, kiedy usługa będzie dostępna. Uczestnicy wspólnie ustalają, jakie kroki podejmują, z kim się kontaktują i jakich informacji potrzebują.

Takie ćwiczenie pomaga zauważyć nieaktualne kontakty, niejasny podział zadań oraz brak dostępu do potrzebnej dokumentacji. Jego wyniki powinny prowadzić do wprowadzenia konkretnych zmian, przypisania odpowiedzialności oraz określenia terminów ich realizacji.

Podobnie warto postępować po rzeczywistym incydencie. Przeanalizowanie tego, co się zadziałało, co opóźniło reakcję i czego zabrakło, pozwala lepiej przygotować się na kolejne zdarzenia. Odporność organizacji rośnie wtedy, gdy zdobyte doświadczenia przekładają się na codzienną praktykę.

Więcej informacji na temat obowiązków wynikających z ustawy KSC 2.0 znajduje się w poradniku „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa”