Pierwsza doba incydentu: jak przygotować firmę do szybkiej oceny i zgłoszenia

Jest piątek, godzina 21:40. Pracownik drugiej zmiany widzi na ekranie żądanie okupu. Dzwoni do przełożonego, przełożony do informatyka, a informatyk nie wie, kto może podjąć decyzję o odłączeniu systemu produkcyjnego. W poniedziałek firma zaczyna ustalać, kiedy właściwie wykryła incydent.

To właśnie dlatego procedury incydentowe trzeba ćwiczyć przed atakiem.

Nie każde zdarzenie podlega raportowaniu w tym samym trybie. Jeżeli jednak podmiot objęty KSC zaklasyfikuje zdarzenie jako incydent poważny, aktualne przepisy przewidują kilka etapów: wczesne ostrzeżenie do 24 godzin od wykrycia, kolejne zgłoszenie do 72 godzin oraz późniejsze sprawozdanie końcowe. Dokładny tryb i odbiorca zależą od statusu podmiotu, sektora i okoliczności zdarzenia. W pierwszej dobie nie trzeba znać wszystkich odpowiedzi, ale trzeba umieć zebrać podstawowe fakty i rozpocząć ocenę.

Co musi działać przed incydentem

Firma potrzebuje jednego, znanego kanału zgłoszeń oraz dostępnej poza godzinami pracy listy kontaktów. Powinna określić, kto prowadzi incydent, kto ocenia wpływ biznesowy, kto odpowiada za ocenę obowiązków prawnych i kto zatwierdza komunikację.

Przydatna jest prosta karta pierwszej godziny:

• co się wydarzyło i kiedy to zauważono;
• jakie usługi, systemy i lokalizacje mogą być dotknięte;
• czy zdarzenie nadal trwa;
• jakie działania zabezpieczające podjęto;
• czy istnieje ryzyko dla klientów, danych lub ciągłości usług;
• kto podejmuje kolejną decyzję i o której godzinie nastąpi aktualizacja.

Jedno zdarzenie, kilka procesów

To samo zdarzenie może wymagać osobnej oceny pod kątem KSC, ochrony danych osobowych, umów z klientami, ubezpieczenia i komunikacji kryzysowej. Jeden dziennik zdarzeń i decyzji pomaga zachować spójność, ale każda podstawa zgłoszenia powinna być oceniona oddzielnie przez odpowiednie osoby.

Najlepszym testem jest krótkie ćwiczenie scenariuszowe. Zarząd, IT, prawo, komunikacja i właściciel usługi wspólnie przechodzą przez fikcyjny atak. Już po godzinie wiadomo, czy numery telefonów są aktualne i czy zastępca może podjąć potrzebną decyzję.

Program wdrożeniowy UP² pomaga przygotować role, kryteria i ćwiczenie incydentowe. Platforma UP² prowadzi oś czasu, zadania, decyzje i materiał potrzebny do oceny zgłoszenia - bez udawania, że automat podejmie decyzję za firmę. Zobacz Incident Ops i program wdrożeniowy UP².

Źródła

• Ustawa o KSC - art. 11 i terminy raportowania
• Szczegóły raportowania mogą zależeć od sektora, rodzaju podmiotu i przepisów szczególnych. Materiał nie rozstrzyga obowiązku zgłoszenia konkretnego zdarzenia.