Jak zgłosić incydent KSC? Procedura krok po kroku

✓

Bezpłatna analiza ryzyka IT

Sprawdź, które obszary bezpieczeństwa wymagają uwagi w Twojej firmie

23 pytania, około 10 minut, bez wiedzy technicznej. Na koniec dostajesz automatyczny wynik i wiesz, gdzie masz realne luki.

Zrób bezpłatną analizę →

Pytanie „jak zgłosić incydent KSC?” pojawia się zwykle wtedy, gdy zespół IT ma już do czynienia z realnym problemem: ransomware blokuje dostęp do plików, konto administratora wykazuje nietypową aktywność albo usługa przestaje działać. W takiej sytuacji liczą się nie tylko działania techniczne, ale też uporządkowana komunikacja z właściwym zespołem reagowania. Dobre zgłoszenie pozwala szybciej ocenić skalę ryzyka, wesprzeć koordynację działań i udokumentować reakcję organizacji.

Nie każde zdarzenie w firmie jest incydentem podlegającym obowiązkowi zgłoszenia na podstawie ustawy o krajowym systemie cyberbezpieczeństwa. Obowiązki zależą między innymi od statusu organizacji, sektora, rodzaju usługi oraz aktualnie obowiązujących przepisów. Dlatego procedura powinna być gotowa przed kryzysem, a nie tworzona w trakcie analizy ataku.

Kiedy zdarzenie staje się incydentem KSC?

Zdarzenie bezpieczeństwa to każdy sygnał, że coś odbiega od normy, na przykład wiele nieudanych logowań, alert antywirusa czy wiadomość phishingowa otrzymana przez pracownika. Incydent to zdarzenie, które ma lub może mieć negatywny wpływ na cyberbezpieczeństwo systemów, danych albo świadczonych usług.

W praktyce szczególnej oceny wymaga sytuacja, która zakłóca ciągłość działania, ogranicza dostępność kluczowych systemów, prowadzi do naruszenia poufności danych lub wskazuje na przejęcie kontroli nad infrastrukturą. Przykładami mogą być szyfrowanie danych przez ransomware, atak na system obsługujący klientów, wyciek danych logowania czy przejęcie konta Microsoft 365 służącego do wysyłania fałszywych faktur.

Dla podmiotów objętych KSC znaczenie ma także klasyfikacja incydentu, w tym ocena jego powagi i wpływu na usługę. Nie warto jednak czekać na pełne ustalenie wszystkich faktów. Przy poważnym podejrzeniu należy uruchomić wewnętrzną procedurę, zabezpieczyć dowody i rozpocząć kontakt według przyjętej ścieżki zgłoszeniowej.

Jak zgłosić incydent KSC – procedura krok po kroku

Najskuteczniejsze zgłoszenie powstaje równolegle z działaniami ograniczającymi skutki incydentu. Nie chodzi o przygotowanie idealnego raportu w pierwszych minutach, lecz o przekazanie wiarygodnych informacji, które są dostępne na danym etapie.

1. Uruchom zespół odpowiedzialny za reakcję. Wyznacz osobę decyzyjną, kontakt do IT oraz osobę odpowiedzialną za komunikację. Jeśli firma korzysta z zewnętrznego wsparcia SOC lub reagowania na incydenty, zaangażuj je od razu. Pozwala to połączyć analizę techniczną z decyzjami biznesowymi, na przykład o odłączeniu części sieci albo czasowym wyłączeniu usługi.

1. Ogranicz rozprzestrzenianie się zagrożenia. Odizoluj zainfekowane urządzenia, zablokuj podejrzane konta i sesje, wymuś zmianę haseł tam, gdzie istnieje ryzyko przejęcia dostępu. Nie usuwaj jednak automatycznie wszystkich śladów. Logi, próbki złośliwego oprogramowania, wiadomości e-mail i informacje o czasie zdarzenia mogą być potrzebne do analizy oraz późniejszego zgłoszenia.

1. Ustal podstawowe fakty. Zanotuj, kiedy incydent został wykryty, jakie systemy obejmuje, jakie usługi są niedostępne oraz czy zagrożone mogły być dane. Warto rozdzielić informacje potwierdzone od hipotez. Zdanie „potwierdzono szyfrowanie plików na dwóch serwerach” jest bardziej użyteczne niż ogólne „firma padła ofiarą cyberataku”.

1. Wybierz właściwy kanał i CSIRT. Zgłoszenie powinno trafić do właściwego zespołu CSIRT wskazanego dla danego podmiotu i rodzaju obowiązku, na przykład CSIRT NASK, CSIRT GOV albo CSIRT MON. Właściwość nie powinna być ustalana intuicyjnie w chwili ataku. Organizacja objęta KSC powinna mieć ją opisaną w procedurze, wraz z aktualnym kanałem kontaktu i osobami upoważnionymi do zgłaszania.

1. Przekaż zgłoszenie w wymaganym terminie. Ustawa i przepisy wykonawcze określają obowiązki oraz terminy dla poszczególnych kategorii podmiotów. W praktyce szczególnie istotne jest szybkie zgłoszenie incydentu poważnego, a następnie uzupełnianie informacji w miarę rozwoju analizy. Dokładny harmonogram należy potwierdzić dla statusu organizacji i aktualnego stanu prawnego, ponieważ wymagania regulacyjne mogą się zmieniać.

1. Aktualizuj zgłoszenie i dokumentuj decyzje. Pierwsze zgłoszenie rzadko zawiera pełen obraz sytuacji. W toku działań mogą pojawić się nowe informacje o zasięgu ataku, sposobie wejścia do środowiska, wpływie na klientów czy skuteczności odtwarzania danych. Zapisuj decyzje, godziny działań i osoby odpowiedzialne. Ta dokumentacja pomaga zarządzać incydentem, a po jego zamknięciu usprawnić zabezpieczenia.

Jakie informacje powinno zawierać zgłoszenie?

Dobre zgłoszenie musi umożliwić identyfikację podmiotu, kontakt roboczy i zrozumienie wpływu zdarzenia. Należy podać dane organizacji, osobę kontaktową dostępną podczas obsługi incydentu, czas wykrycia oraz opis dotkniętych systemów i usług.

Istotny jest także charakter zdarzenia: czy doszło do niedostępności systemu, nieuprawnionego dostępu, infekcji złośliwym oprogramowaniem, wycieku danych czy ataku typu DDoS. W zgłoszeniu warto opisać obserwowane symptomy, skalę wpływu na działalność oraz działania już podjęte w celu ograniczenia ryzyka.

Jeżeli są dostępne, pomocne będą techniczne wskaźniki kompromitacji, takie jak podejrzane adresy IP, domeny, nazwy plików, skróty plików lub fragmenty logów. Nie należy jednak przesyłać danych chaotycznie ani przekazywać informacji wrażliwych przez niezweryfikowane kanały. Stosuj kanał wskazany przez właściwy CSIRT i ustaloną w firmie procedurę bezpiecznej wymiany informacji.

Terminy: szybko, ale bez zgadywania

Najczęstszy błąd polega na wstrzymaniu zgłoszenia do czasu poznania pełnej przyczyny ataku. W przypadku poważnego incydentu takie podejście może zwiększyć ryzyko przekroczenia terminu i opóźnić wsparcie. Bezpieczniejszy model to zgłoszenie wstępne oparte na faktach, a następnie jego aktualizacja.

Drugim błędem jest wpisywanie niezweryfikowanych wniosków jako pewników. Jeśli analiza trwa, należy to jasno zaznaczyć. Można wskazać, że zakres incydentu jest ustalany, a kolejne informacje zostaną przekazane po analizie logów, urządzeń i kont użytkowników. Rzetelność jest ważniejsza niż pozorna kompletność.

Warto pamiętać, że incydent cyberbezpieczeństwa może jednocześnie rodzić inne obowiązki, na przykład związane z ochroną danych osobowych, umowami z klientami lub wymaganiami branżowymi. Są to odrębne ścieżki, z własnymi kryteriami i terminami. Ocena obowiązku wynikającego z KSC nie zastępuje analizy pozostałych obowiązków organizacji.

Kto w firmie powinien zgłaszać incydenty?

W małej lub średniej firmie odpowiedzialność często spada na administratora IT. To zrozumiałe, bo administrator widzi alerty i zna środowisko. Nie powinien jednak pozostawać sam z decyzjami o wpływie biznesowym, komunikacji z klientami czy odłączeniu kluczowego systemu.

Najlepiej, gdy procedura wskazuje właściciela procesu, zastępcę, kontakty do zarządu oraz zasady eskalacji. Administrator lub dostawca IT zbiera fakty techniczne, osoba odpowiedzialna za bezpieczeństwo koordynuje ocenę, a zarząd podejmuje decyzje dotyczące ciągłości działania. Taki podział nie wymaga rozbudowanego działu cyberbezpieczeństwa, lecz jasnych ról i regularnego testowania procedury.

Przygotowanie przed incydentem ogranicza presję czasu

Formularz zgłoszeniowy nie rozwiąże problemu, jeśli firma nie ma logów, aktualnej listy systemów i kontaktów do dostawców. Dlatego warto utrzymywać inwentaryzację zasobów, kopie zapasowe sprawdzane w praktyce oraz instrukcję izolowania urządzeń. Równie ważny jest monitoring, który pozwala ustalić, co wydarzyło się przed wykryciem incydentu, a nie tylko zareagować na jego końcowy skutek.

Stały monitoring bezpieczeństwa i wsparcie ekspertów mogą skrócić czas od wykrycia alertu do decyzji o eskalacji. VIRTUO SOC pomaga MŚP w monitorowaniu środowisk IT, analizie zagrożeń i reagowaniu na incydenty, a także w uporządkowaniu procesów wspierających wymagania KSC, NIS2, ISO 27001 i RODO.

Umów spotkanie z naszym doradcą

Jeżeli chcesz sprawdzić, czy Twoja firma ma praktyczną procedurę wykrywania, klasyfikacji i zgłaszania incydentów, umów spotkanie z doradcą VIRTUO SOC. Rozmowa może pomóc określić priorytety bez budowania kosztownego, własnego zespołu bezpieczeństwa.

Dobrze przygotowana organizacja nie zakłada, że incydent się nie wydarzy. Zakłada, że gdy pojawi się niepokojący sygnał, ludzie będą wiedzieli, co zrobić, komu przekazać informacje i jak chronić ciągłość działania firmy.