KSC art. 8 ust. 1 pkt g): ciągły monitoring IT

✓

Bezpłatna analiza ryzyka IT

Sprawdź, które obszary bezpieczeństwa wymagają uwagi w Twojej firmie

23 pytania, około 10 minut, bez wiedzy technicznej. Na koniec dostajesz automatyczny wynik i wiesz, gdzie masz realne luki.

Zrób bezpłatną analizę →

Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw.

Art. 8. 1 pkt g) objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym.

Atak nie musi zaczynać się od spektakularnego włamania. Często pierwszym sygnałem jest nietypowe logowanie do Microsoft 365, utworzenie nowego konta administratora, wyłączenie ochrony na komputerze lub seria błędnych prób dostępu do serwera. Wymóg określany jako „KSC art. 8. 1 pkt. g): ciągły monitoring IT” ma sprawić, aby takie zdarzenia zostały zauważone i właściwie ocenione, zanim przerodzą się w przestój, utratę danych albo incydent wpływający na świadczenie usługi.

Przepis dotyczy operatorów usług kluczowych, ale jego praktyczny sens jest szerszy. Każda organizacja zależna od systemów IT powinna wiedzieć, co dzieje się w jej środowisku – również wtedy, gdy firma nie ma własnego zespołu cyberbezpieczeństwa. Dla MŚP szczególnie istotne jest znalezienie modelu, który daje realną widoczność zagrożeń bez budowania kosztownego, całodobowego SOC wewnątrz firmy.

Co oznacza obowiązek z art. 8 ust. 1 pkt g) KSC

Istotą art. 8 ust. 1 pkt g) ustawy o krajowym systemie cyberbezpieczeństwa jest prowadzenie ciągłego monitoringu systemu informacyjnego wykorzystywanego do świadczenia usługi kluczowej pod kątem cyberbezpieczeństwa. Nie chodzi więc o okazjonalne sprawdzanie serwerów ani o coroczne skanowanie podatności. Monitoring ma umożliwiać bieżące wykrywanie zdarzeń, które mogą wskazywać na naruszenie bezpieczeństwa.

W praktyce organizacja powinna obserwować systemy i konta krytyczne dla działania usługi, gromadzić istotne dane o zdarzeniach oraz umieć odróżnić zwykłą aktywność użytkownika od sygnału ataku. Równie ważna jest reakcja. Sam alert o podejrzanym logowaniu nie ogranicza ryzyka, jeżeli nikt nie sprawdzi jego źródła, zakresu i skutków.

Ciągły monitoring nie oznacza, że każda informacja z infrastruktury musi być analizowana ręcznie przez człowieka. Oznacza natomiast, że organizacja ma stale zbierać i oceniać dane bezpieczeństwa w zakresie adekwatnym do ryzyka, architektury oraz znaczenia systemu dla działalności. Automatyzacja pomaga wykrywać wzorce, ale decyzja o tym, czy alert jest incydentem i jakie działania należy podjąć, wymaga określonego procesu oraz kompetencji.

Ciągły monitoring IT to proces, nie pojedyncze narzędzie

Częsty błąd polega na utożsamianiu spełnienia wymogu z zakupem systemu antywirusowego, platformy SIEM albo narzędzia do zdalnego zarządzania komputerami. Każda z tych technologii może być wartościowa, lecz żadna nie stanowi samodzielnie kompletnego monitoringu bezpieczeństwa.

SIEM umożliwia centralne zbieranie i korelację logów, czyli zapisów zdarzeń z wielu źródeł. Może na przykład połączyć informację o nietypowym logowaniu do poczty z utworzeniem reguły przekazywania wiadomości na zewnętrzny adres. Jednak bez właściwej konfiguracji, reguł detekcji i analizy alertów SIEM staje się jedynie miejscem, do którego trafia duża liczba danych.

RMM wspiera administrację urządzeniami, aktualizacje i nadzór operacyjny. Nie zastępuje jednak monitoringu cyberbezpieczeństwa. Podobnie rozwiązania EDR lub MDR na stacjach roboczych mogą wykrywać zachowania charakterystyczne dla ransomware, lecz nie pokażą pełnego obrazu, jeśli firma nie monitoruje także tożsamości użytkowników, poczty, firewalli, serwerów i usług chmurowych.

Skuteczny model łączy technologię z jasno przypisanymi działaniami: wykrywaniem zagrożeń, oceną priorytetu, weryfikacją kontekstu, obsługą incydentów oraz komunikacją z osobami odpowiedzialnymi po stronie firmy. To właśnie ten proces przekłada sygnały techniczne na decyzje ograniczające ryzyko biznesowe.

Jakie obszary powinien obejmować monitoring bezpieczeństwa 24/7

Zakres monitoringu należy ustalić na podstawie tego, od czego zależy ciągłość działania usługi. W firmie logistycznej kluczowe mogą być systemy planowania transportu i konta z dostępem zdalnym. W biurze rachunkowym – poczta, dokumenty klientów, stacje robocze i kopie zapasowe. W zakładzie produkcyjnym znaczenie mogą mieć serwery, sieć oraz systemy wspierające proces operacyjny.

Najczęściej warto objąć monitoringiem co najmniej:

• komputery i serwery z systemami Windows oraz Linux;
• zapory sieciowe, urządzenia sieciowe i dostęp zdalny VPN;
• środowiska Microsoft 365 lub Google Workspace, w tym logowania i zmiany uprawnień;
• konta uprzywilejowane, konta administratorów oraz konta serwisowe;
• infrastrukturę chmurową i systemy obsługujące kluczowe procesy;
• zdarzenia związane z kopiami zapasowymi, wyłączaniem zabezpieczeń i zmianami konfiguracji.

Nie każda firma musi od pierwszego dnia zbierać logi ze wszystkich urządzeń. Warto zacząć od zasobów o największym znaczeniu dla działalności oraz najczęstszych wektorów ataku. Przejęcie konta pocztowego, phishing, ransomware i nieautoryzowany dostęp do systemów to zagrożenia, które szczególnie często dotykają przedsiębiorstwa bez rozbudowanego działu bezpieczeństwa.

Od alertu do reakcji: czego nie może zabraknąć

Monitoring działa tylko wtedy, gdy organizacja wie, co nastąpi po wykryciu sygnału. Alert o logowaniu z nietypowej lokalizacji może być efektem podróży pracownika, ale może też oznaczać przejęcie konta. Należy sprawdzić, czy użytkownik potwierdza aktywność, czy korzystano z nietypowego urządzenia, czy zmieniono reguły poczty i czy po logowaniu pojawiły się dalsze podejrzane działania.

Dobrze zorganizowana obsługa incydentów obejmuje klasyfikację zgłoszenia, analizę wpływu, ograniczenie zagrożenia, zabezpieczenie dowodów oraz odtworzenie normalnego działania. W przypadku zainfekowanego komputera reakcją może być odizolowanie urządzenia od sieci, zablokowanie konta, usunięcie mechanizmu utrzymania dostępu i weryfikacja, czy atakujący nie przemieścił się do innych systemów.

Kluczowe są również uzgodnione zasady eskalacji. Zespół monitorujący musi wiedzieć, kto po stronie firmy może podjąć decyzję o zablokowaniu konta, odłączeniu serwera albo uruchomieniu procedury awaryjnej. Bez takich ustaleń nawet trafnie wykryte zagrożenie może pozostać bez odpowiedzi przez zbyt długi czas.

Monitoring 24/7 ma największą wartość właśnie poza godzinami pracy. Atakujący często wykorzystują wieczory, weekendy i święta, gdy administratorzy nie śledzą bieżących zdarzeń. Nie każdy alert wymaga natychmiastowej interwencji, ale zdarzenia o wysokim ryzyku powinny być szybko zweryfikowane i przekazane zgodnie z ustalonym trybem reagowania.

Dowody działania i kontrola jakości monitoringu

Dla organizacji objętych wymaganiami KSC liczy się nie tylko deklaracja, że monitoring istnieje, ale również możliwość wykazania, jak funkcjonuje. Warto dokumentować objęte systemy, źródła logów, role odpowiedzialne za analizę, zasady eskalacji oraz sposób postępowania z incydentami.

Praktycznym dowodem są raporty z istotnych zdarzeń, rejestr incydentów, informacje o podjętych działaniach, przeglądy konfiguracji oraz okresowa ocena jakości detekcji. Taka dokumentacja pomaga także zarządowi. Pokazuje, czy firma otrzymuje wartościowe sygnały, gdzie występują luki i jakie działania mają uzasadnienie z perspektywy ciągłości działalności.

Nie należy jednak mierzyć skuteczności liczbą alertów. Duża liczba powiadomień może świadczyć o nadmiarze szumu, a nie o lepszej ochronie. Wartość ma szybkie wykrycie zdarzeń istotnych, prawidłowa analiza alertów i zdolność do ograniczenia skutków incydentu.

SOC as a Service jako model dla MŚP

Własny SOC wymaga analityków, dyżurów, procedur, narzędzi i stałego rozwijania kompetencji. Dla wielu małych i średnich firm taki model nie jest proporcjonalny do skali działalności. Nie oznacza to jednak, że muszą rezygnować ze stałego monitoringu bezpieczeństwa IT.

SOC as a Service pozwala korzystać z pracy specjalistów w modelu usługowym. W ramach MDR, czyli Managed Detection and Response, zespół bezpieczeństwa monitoruje uzgodnione elementy środowiska, analizuje podejrzane zdarzenia i wspiera reagowanie na zagrożenia. Zakres może obejmować stacje robocze, serwery, firewalle, Microsoft 365, Google Workspace oraz – gdy jest to potrzebne – centralną analizę logów w SIEM.

Taki model wymaga dobrego dopasowania do firmy. Innego zakresu potrzebuje kancelaria z kilkunastoma kontami pocztowymi, a innego przedsiębiorstwo produkcyjne z infrastrukturą lokalną, dostępem zdalnym i wieloma systemami operacyjnymi. W VIRTUO SOC punktem wyjścia powinny być realne procesy biznesowe, kluczowe zasoby oraz scenariusze zagrożeń, a nie lista technologii do wdrożenia.

Wymóg ciągłego monitoringu warto traktować jako element odpowiedzialnego zarządzania działalnością, nie wyłącznie obowiązek regulacyjny. Firma, która wie o podejrzanym działaniu na etapie pierwszego alertu, ma zwykle więcej możliwości niż firma, która dowiaduje się o nim dopiero po zaszyfrowaniu danych lub zgłoszeniu od klienta.

Dyrektor ds. Technologii (CTO) D.B.