W poprzednich wpisach z serii „KSC po nowelizacji w praktyce” omówiliśmy już status podmiotu kluczowego i ważnego, Wykaz KSC, podstawowe obowiązki, dokumentację SZBI oraz rolę kierownika podmiotu. Teraz przechodzimy do tematu, który w praktyce budzi wiele pytań: incydentów.
Najczęściej pojawia się wtedy od razu pytanie o terminy: 24 godziny, 72 godziny, miesiąc. To ważne, ale nie od tego powinna zaczynać się analiza. Zanim organizacja zacznie liczyć terminy, musi najpierw ustalić, z jakim zdarzeniem ma do czynienia i czy rzeczywiście uruchamia ono obowiązek zgłoszeniowy.
Nie każde zdarzenie techniczne będzie incydentem poważnym. Nie każdy incydent będzie wymagał pełnej ścieżki raportowania. Ale każde zdarzenie, które może wpływać na bezpieczeństwo systemów informacyjnych, powinno zostać ocenione w uporządkowany sposób.
Czym jest incydent?
Ustawa o krajowym systemie cyberbezpieczeństwa definiuje incydent jako zdarzenie, które ma lub może mieć niekorzystny wpływ na bezpieczeństwo systemów informacyjnych. To szeroka definicja, ponieważ obejmuje nie tylko sytuacje, w których szkoda już wystąpiła, ale także takie, które mogą negatywnie oddziaływać na systemy informacyjne.
W praktyce incydentem może być np. nieuprawniony dostęp do systemu, złośliwe oprogramowanie, przejęcie konta, niedostępność usługi, naruszenie integralności danych albo inne zdarzenie wpływające na poufność, integralność, dostępność lub autentyczność danych i usług.
Samo stwierdzenie, że doszło do incydentu, nie oznacza jednak jeszcze automatycznie obowiązku zgłoszenia go w pełnym trybie przewidzianym dla incydentu poważnego.
Kiedy incydent staje się incydentem poważnym?
Incydent poważny to taka kategoria incydentu, która ma istotne znaczenie z punktu widzenia działania podmiotu kluczowego albo ważnego. Chodzi o incydent, który powoduje albo może spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi, straty finansowe po stronie podmiotu albo poważną szkodę materialną lub niematerialną po stronie innych osób lub podmiotów.
W praktyce organizacja powinna więc patrzeć nie tylko na samo zdarzenie techniczne, ale przede wszystkim na jego wpływ. Znaczenie ma to, czy zdarzenie zakłóca świadczenie usługi, jak długo trwa, ilu użytkowników może dotyczyć, jaki ma zasięg, czy wpływa na inne podmioty i czy może powodować poważniejsze skutki organizacyjne, finansowe albo społeczne.
W przypadku podmiotów publicznych trzeba dodatkowo pamiętać, że przez usługę rozumie się także zadanie publiczne. Dlatego przy ocenie incydentu znaczenie może mieć nie tylko awaria systemu jako taka, ale również wpływ zdarzenia na realizację zadań wobec mieszkańców, pacjentów, interesantów albo innych odbiorców usług publicznych.
To właśnie ta ocena decyduje, czy organizacja ma do czynienia ze zwykłym incydentem, czy z incydentem poważnym, który wymaga zgłoszenia zgodnie z ustawą.
Incydent poważny to nie to samo co incydent krytyczny
Warto odróżnić incydent poważny od incydentu krytycznego. Incydent poważny jest kategorią szczególnie istotną dla podmiotów kluczowych i ważnych, ponieważ to ona uruchamia podstawowe obowiązki zgłoszeniowe wynikające z ustawy.
Incydent krytyczny ma natomiast szczególny charakter. Dotyczy sytuacji skutkujących znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich albo życia i zdrowia ludzi.
Obsługa incydentu zaczyna się wcześniej niż zgłoszenie
W praktyce niebezpieczne jest sprowadzanie całego tematu incydentów wyłącznie do pytania: „czy i kiedy zgłosić?”. Zgłoszenie jest ważnym elementem, ale najpierw organizacja musi zdarzenie zauważyć, zarejestrować, ocenić, zakwalifikować i podjąć działania ograniczające skutki.
Ustawa wskazuje, że podmiot kluczowy lub ważny zapewnia obsługę incydentu. Obejmuje to m.in. wykrywanie, rejestrowanie, analizowanie, klasyfikowanie, priorytetyzację, podejmowanie działań naprawczych oraz ograniczanie skutków incydentu.
Dlatego organizacja powinna mieć prosty i zrozumiały sposób postępowania. Nie chodzi o nadmiernie rozbudowaną procedurę, której nikt nie będzie w stanie zastosować w praktyce. Chodzi o to, aby w razie zdarzenia było wiadomo, kto przyjmuje informację, kto ocenia sytuację, kto podejmuje decyzję o dalszych działaniach i kto odpowiada za komunikację.
Wczesne ostrzeżenie: 24 godziny
Jeżeli incydent zostanie zakwalifikowany jako poważny, podmiot kluczowy lub ważny przekazuje wczesne ostrzeżenie niezwłocznie, nie później niż w ciągu 24 godzin od momentu wykrycia incydentu poważnego.
Wczesne ostrzeżenie nie jest pełnym raportem. Na tym etapie organizacja może jeszcze nie znać wszystkich przyczyn, skutków i szczegółów zdarzenia. Celem jest szybkie przekazanie pierwszej informacji o incydencie poważnym.
Ustawa określa, jakie informacje powinny znaleźć się we wczesnym ostrzeżeniu. Chodzi m.in. o dane podmiotu, osoby dokonującej zgłoszenia, osoby uprawnionej do składania wyjaśnień, moment wystąpienia i wykrycia incydentu oraz czas jego trwania. Jeżeli jest to możliwe, wskazuje się również, czy incydent mógł być wynikiem działania bezprawnego lub działania w złej wierze oraz czy może dotyczyć innych państw członkowskich Unii Europejskiej.
Z perspektywy praktycznej najważniejsze jest to, aby nie czekać z pierwszą informacją do czasu, aż organizacja będzie znała pełny obraz zdarzenia. Jeżeli incydent został zakwalifikowany jako poważny, termin zaczyna mieć znaczenie od momentu jego wykrycia.
Zgłoszenie incydentu poważnego: 72 godziny
Kolejnym etapem jest zgłoszenie incydentu poważnego. Podmiot kluczowy lub ważny przekazuje je niezwłocznie, nie później niż w ciągu 72 godzin od momentu wykrycia incydentu poważnego.
To zgłoszenie jest bardziej szczegółowe niż wczesne ostrzeżenie. Powinno obejmować informacje dotyczące wpływu incydentu na świadczenie usługi, w tym wskazanie usługi, której incydent dotyczył, liczbę użytkowników, zasięg geograficzny, wpływ na inne podmioty, opis przyczyn, przebieg zdarzenia, prawdopodobne skutki oraz działania zapobiegawcze i naprawcze.
Ustawa uwzględnia jednak realia obsługi incydentu. Podmiot przekazuje informacje znane mu w chwili dokonywania zgłoszenia i uzupełnia je w trakcie obsługi incydentu poważnego. To ważne, ponieważ w pierwszych godzinach organizacja często wie, że zdarzenie jest poważne, ale nie zna jeszcze wszystkich szczegółów.
Sprawozdania z obsługi incydentu
Zgłoszenie incydentu poważnego nie zawsze kończy obowiązki informacyjne. Ustawa przewiduje również sprawozdania związane z obsługą incydentu.
Sprawozdanie okresowe przekazuje się na wniosek właściwego CSIRT sektorowego. Podmiot przekazuje też sprawozdanie końcowe z obsługi incydentu poważnego nie później niż w ciągu miesiąca od zgłoszenia incydentu poważnego.
Sprawozdanie końcowe powinno obejmować m.in. szczegółowy opis incydentu, zakłócenia i szkody, rodzaj zagrożenia lub prawdopodobną przyczynę, zastosowane i wdrażane środki ograniczające ryzyko oraz informacje o skutkach transgranicznych, jeżeli wystąpiły.
Jeżeli obsługa incydentu nie zakończyła się w terminie składania sprawozdania końcowego, podmiot przekazuje sprawozdanie z postępu obsługi incydentu, a sprawozdanie końcowe przekazuje po zakończeniu obsługi.
S46 i właściwa ścieżka zgłoszeniowa
Zgodnie z ustawą wczesne ostrzeżenie, zgłoszenie incydentu poważnego oraz sprawozdania są przekazywane za pomocą systemu teleinformatycznego S46.
FAQ Ministerstwa Cyfryzacji wyjaśnia, że S46 Cyber Hub pełni funkcję „jednego okienka” do obsługi incydentów. Pozwala na zgłoszenie incydentu w jednym miejscu, skąd informacja trafia do właściwego CSIRT poziomu krajowego, a docelowo także do właściwego CSIRT sektorowego.
W praktyce oznacza to, że dostęp do S46 nie jest tylko kwestią formalną związaną z Wykazem KSC. Ma znaczenie również dla realizacji obowiązków zgłoszeniowych.
Podmiot powinien wiedzieć, kto ma dostęp do S46, kto może przygotować informacje do zgłoszenia i kto będzie odpowiadał za kontakt w przypadku incydentu. Warto też pamiętać, że właściwa ścieżka zgłoszeniowa nie powinna być ustalana „na wyczucie”. Znaczenie ma status podmiotu, sektor, dane w Wykazie KSC oraz informacje o właściwym CSIRT sektorowym i właściwym CSIRT poziomu krajowego.
Podmioty ważne będące podmiotami publicznymi
W przypadku podmiotów ważnych będących podmiotami publicznymi ustawa przewiduje uproszczenie. Do takich podmiotów stosuje się przepisy dotyczące obsługi i zgłaszania incydentów, ale z wyjątkiem przepisów o przekazywaniu wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu obsługi incydentu i sprawozdania końcowego.
FAQ Ministerstwa Cyfryzacji wyjaśnia to wprost: podmioty publiczne będące podmiotami ważnymi nie muszą zgłaszać wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu ani sprawozdania końcowego z obsługi incydentu. Zgłaszają wyłącznie zgłoszenie incydentu poważnego.
To bardzo ważne rozróżnienie, szczególnie dla mniejszych jednostek publicznych. Nie należy automatycznie przenosić pełnego katalogu obowiązków zgłoszeniowych na każdy podmiot publiczny będący podmiotem ważnym.
Informacje prawnie chronione i tajemnica przedsiębiorstwa
Ustawa przewiduje, że w zgłoszeniach mogą pojawić się informacje stanowiące tajemnice prawnie chronione, w tym tajemnicę przedsiębiorstwa. Takie informacje przekazuje się w niezbędnym zakresie, jeżeli jest to konieczne do realizacji zadań właściwego CSIRT.
Jednocześnie podmiot powinien oznaczać informacje stanowiące tajemnice prawnie chronione. Dotyczy to zarówno wczesnego ostrzeżenia, zgłoszenia incydentu poważnego, jak i informacji przekazywanych dobrowolnie.
W praktyce oznacza to, że organizacja nie powinna pomijać istotnych informacji tylko dlatego, że są wrażliwe biznesowo albo organizacyjnie. Powinna jednak zadbać o ich prawidłowe oznaczenie i przekazywać je w zakresie niezbędnym do obsługi sprawy.
Informowanie użytkowników
Obowiązki związane z incydentami nie ograniczają się do kontaktu z właściwym CSIRT. Ustawa przewiduje również sytuacje, w których podmiot kluczowy albo ważny informuje użytkowników swoich usług.
Dotyczy to m.in. poważnego cyberzagrożenia, które może mieć wpływ na użytkowników usług, oraz incydentu poważnego, jeżeli ma on niekorzystny wpływ na świadczenie tych usług.
W przypadku podmiotów publicznych trzeba pamiętać, że użytkownikami mogą być nie tylko pracownicy jednostki, ale również osoby korzystające z usług publicznych albo odbiorcy zadań publicznych. Komunikacja powinna być więc dostosowana do charakteru usługi lub zadania, skutków incydentu oraz ryzyka związanego z ujawnieniem określonych informacji.
Dobrowolne przekazywanie informacji
Ustawa przewiduje także możliwość przekazywania informacji o innych incydentach, cyberzagrożeniach, wynikach szacowania ryzyka, podatnościach, potencjalnych zdarzeniach dla cyberbezpieczeństwa oraz wykorzystywanych technologiach.
To nie jest to samo co obowiązkowe zgłoszenie incydentu poważnego. Chodzi o możliwość wymiany informacji z właściwymi CSIRT, która może wspierać podnoszenie poziomu cyberbezpieczeństwa.
Takie informacje przekazuje się elektronicznie za pomocą systemu S46, a jeżeli nie jest to możliwe, przy użyciu innych dostępnych środków komunikacji.
Co organizacja powinna uporządkować?
W praktyce podmiot kluczowy lub ważny powinien mieć prosty sposób postępowania z incydentami. Nie chodzi o to, aby każda możliwa sytuacja była opisana w osobnym scenariuszu. Chodzi o to, aby w razie zdarzenia organizacja nie zaczynała wszystkiego od zera.
Warto ustalić, kto przyjmuje informacje o podejrzanych zdarzeniach, kto ocenia ich wpływ na systemy informacyjne i świadczenie usług, kto podejmuje decyzję o zgłoszeniu albo braku zgłoszenia, kto ma dostęp do S46, kto kontaktuje się z właściwym CSIRT i kto dokumentuje działania podjęte w związku z incydentem.
Dobrą praktyką jest również odnotowanie decyzji o braku zgłoszenia, jeżeli po analizie uznano, że zdarzenie nie spełnia przesłanek incydentu poważnego. Taki zapis może pomóc wykazać, że zdarzenie zostało ocenione, a nie pominięte.
Najważniejsze jest jednak to, aby procedura incydentowa była możliwa do zastosowania w praktyce. W sytuacji incydentu liczy się czas, jasność odpowiedzialności i szybkie ustalenie dalszych działań.
Co dalej w serii CAB?
W tym wpisie omówiliśmy incydenty w KSC: czym jest incydent, kiedy może stać się incydentem poważnym, jakie są podstawowe terminy zgłoszeniowe, jaką rolę pełni S46 i jakie uproszczenie dotyczy podmiotów ważnych będących podmiotami publicznymi.
W kolejnym wpisie przejdziemy do audytu, nadzoru i kar, czyli do obszaru, który pokazuje, jak obowiązki wynikające z ustawy mogą być weryfikowane i jakie konsekwencje może mieć ich niewykonanie.
Twoje bezpieczeństwo to nasza pasja! 🌐 Jeśli interesuje Cię ochrona danych osobowych, bezpieczeństwo informacji czy cyberbezpieczeństwo, zajrzyj na stronę CAB oraz Platformę Cyberbezpieczeństwa. Szukasz informacji o ochronie sygnalistów? 📢 Sprawdź stronę Kanału Zgłoszeniowego. Czekają tam praktyczne porady i ekspercka wiedza!
*Ten wpis porządkuje kwestie incydentów i zgłoszeń wyłącznie na podstawie ustawy o krajowym systemie cyberbezpieczeństwa oraz FAQ Ministerstwa Cyfryzacji.