Plan reagowania na incydenty i karta postępowania w razie incydentu

Moduł 8: Gdy coś pójdzie nie tak · Czas czytania: 10 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili przygotować kartę postępowania w razie incydentu oraz prosty plan reagowania, które będą działać nawet wtedy, gdy komputery, poczta i lista kontaktów będą niedostępne.

Kluczowe pojęcia: incydent, karta postępowania w razie incydentu, plan reagowania na incydenty, role, lista kontaktów, ograniczanie skutków, zabezpieczanie dowodów, komunikacja, przechowywanie offline, ćwiczenie (tabletop)

Dlaczego warto to uporządkować teraz, a nie wtedy, gdy już się pali

Proszę sobie wyobrazić: jest poniedziałek, godzina 7:45. Na komputerze kasowym Piekarni Example pojawia się czerwony ekran z informacją, że wszystkie pliki zostały zaszyfrowane. Udostępniony folder z zamówieniami nie otwiera się. Ktoś mówi: „Trzeba zadzwonić do informatyka”. Ale jego numer znajduje się w kontaktach skrzynki pocztowej, a skrzynka pocztowa działa na tym samym komputerze. Ktoś inny chce od razu wyłączyć komputer. Jeszcze ktoś inny zaczyna podłączać dysk z kopią zapasową, żeby „wszystko przywrócić”.

Wszystkie trzy reakcje są zrozumiałe, a dwie z nich tylko pogarszają sytuację. Tak dzieje się niemal zawsze: pod presją ludzie robią to, co pierwsze przychodzi im do głowy. Incydent to każde zdarzenie, które zagraża dostępności, wiarygodności lub poufności danych bądź systemów: przejęta skrzynka pocztowa, ransomware, zgubiony laptop, wiadomość z danymi klientów wysłana do niewłaściwej osoby, przejęta strona internetowa.

Celem planu nie jest to, by wszystko poszło dobrze. Celem jest to, by w pierwszej godzinie nie popełnić błędów, których nie da się naprawić, oraz by wiedzieć, do kogo zadzwonić.

Karta postępowania w razie incydentu a plan reagowania na incydenty: różnica

Dla firmy zatrudniającej od dwóch do dwudziestu osób najważniejsza jest karta. Plan może być krótki. Niderlandzkie NCSC opracowało obszerny plan reagowania na incydenty ransomware (zob. Przeczytaj więcej); można go wykorzystać jako punkt wyjścia i skrócić.

Co powinno znaleźć się na karcie postępowania w razie incydentu

Dobra karta odpowiada na pięć pytań. Poniżej szablon, który można wykorzystać.

KARTA POSTĘPOWANIA W RAZIE INCYDENTU  Piekarnia Example      wersja: 1   data: ..-..-....

1. CZY ZAUWAŻAJĄ PAŃSTWO COŚ NIEPOKOJĄCEGO?  (czerwony ekran, dziwna wysłana wiadomość, nie udaje się zalogować,
   nieznana płatność, zgubiony laptop, dane wysłane do niewłaściwego odbiorcy)
   -> Proszę zgłosić to NATYCHMIAST do: ............................  tel.: ...............
      Zastępstwo: ..........................................  tel.: ...............
   Zgłoszenie jest zawsze właściwą decyzją. Nikt nie zostanie za to obwiniony.

2. PIERWSZE KROKI (nie naprawiać samodzielnie)
   [ ] Odłączyć kabel sieciowy / wyłączyć wifi / włączyć tryb samolotowy. NIE wyłączać urządzenia.
   [ ] Odłączyć dyski USB i dyski z kopią zapasową. NIE podłączać ich.
   [ ] Zrobić zdjęcie ekranu (telefonem).
   [ ] Zapisać: godzinę, co widać było na ekranie, co zostało zrobione.
   [ ] Nie płacić, nie odpowiadać szantażyście.

3. DO KOGO DZWONIMY?
   Wsparcie IT / administrator   ............................  tel.: ...............
   Hosting / poczta              ............................  tel.: ...............
   Bank (oszustwa, 24/7)         ............................  tel.: ...............
   Ubezpieczyciel (cyber)        ............................  polisa: .............
   Policja (zgłoszenie)          numer alarmowy 112 / numer dyżurny jednostki
   Zgłoszenie naruszenia do UODO formularz elektroniczny na uodo.gov.pl (w ciągu 72 godzin)
   Ważny klient/dostawca: ...................  tel.: ...............

4. KTO DECYDUJE, A KTO ROZMAWIA?
   Decyduje (wyłączenie, przywrócenie, zgłoszenie, płatność): ..........................
   Rozmawia z klientami, prasą, personelem: ........................................
   Prowadzi dziennik zdarzeń: .....................................................

5. GDZIE CO SIĘ ZNAJDUJE?
   Kopie zapasowe: .............................. (ostatni test: ..-..-....)
   Dostęp awaryjny do menedżera haseł: ...........................................
   Lista systemów i kont: ..........................................
   Ten plan (wersja cyfrowa) + kopia poza firmą: ..............................

Kilka wyborów w tym szablonie wymaga wyjaśnienia.

• „Nie wyłączać, ale odłączyć”. W przypadku ransomware niderlandzkie NCSC zaleca natychmiastowe odłączenie zaatakowanego urządzenia od sieci (kabel, wifi, sieć komórkowa), ale bez jego wyłączania; tryb uśpienia jest dopuszczalny. W pamięci roboczej znajdują się ślady, które mogą być potrzebne śledczym, a czasem nawet klucze szyfrujące. Odłączenie zatrzymuje rozprzestrzenianie się ataku na inne urządzenia i na dysk sieciowy.
• „Nie podłączać dysków z kopią zapasową”. Dysk podłączony do zainfekowanego komputera również zostanie zaszyfrowany. Najpierw trzeba mieć pewność, że środowisko jest czyste (lekcja 8.3).
• „Zgłoszenie jest zawsze właściwą decyzją”. Pracownik, który pierwszy coś zauważy, to Państwa najlepsza linia obrony. Jeśli obawia się reprymendy, będzie zwlekał i stracą Państwo cenne godziny. Zob. też lekcja 9.2.
• Numery na papierze. Właśnie przy poważnym incydencie poczta, wspólny kalendarz, a czasem również centrala telefoniczna mogą nie działać. Karta dostępna wyłącznie w chmurze wtedy po prostu zniknie.

W Polsce numerem alarmowym jest 112; sprawy niewymagające natychmiastowej interwencji można zgłosić w najbliższej jednostce Policji. Cyberatak zwykle nie jest sprawą wymagającą zgłoszenia pod numer alarmowy.

Role: kto za co odpowiada

W małej firmie jedna osoba często zajmuje się wszystkim. Mimo to warto ustalić trzy role, nawet jeśli przypisane są tej samej osobie:

1. Decydent. Decyduje o wyłączeniu, przywróceniu, zgłoszeniu do UODO, kontakcie z bankiem oraz o tym, czy potrzebny jest zewnętrzny specjalista. Najlepiej właściciel lub dyrektor, ze stałym zastępcą.
2. Osoba odpowiedzialna za kwestie techniczne. Dostawca IT, twórca strony internetowej lub zaradny współpracownik. Wykonuje polecenia decydenta i doradza. Warto wcześniej ustalić, czy dostawca IT pomaga również przy incydentach, jak szybko i ile to kosztuje; to temat na lekcję 7.2.
3. Osoba odpowiedzialna za komunikację. Rozmawia z klientami, personelem i ewentualnie mediami, tak aby na zewnątrz szła jedna, spójna wersja wydarzeń. W przypadku naruszenia ochrony danych należy do tego również poinformowanie osób, których dane dotyczą (lekcja 8.2).

Warto też wyznaczyć osobę, która prowadzi dziennik zdarzeń: godzina, co się wydarzyło, kto co zdecydował. Może to wydawać się biurokratyczne, ale jest potrzebne do zgłoszenia do UODO (który pyta, kiedy wykryto naruszenie i co zrobiono), dla ubezpieczyciela, do zgłoszenia na Policji oraz do późniejszej oceny sytuacji.

Plan: kilka zasad dla każdego rodzaju incydentu

Oprócz karty warto spisać krótkie postępowanie dla każdego częstego rodzaju incydentu. Na początek wystarczą cztery:

Warto też ustalić, które systemy są najważniejsze, w odpowiedniej kolejności. W Piekarni Example będzie to na przykład: kasa i terminal płatniczy, dzisiejsze zamówienia, poczta, księgowość, strona internetowa. Przy przywracaniu zaczyna się od góry listy. Zob. też RPO i RTO w lekcji 6.3.

Ćwiczenie: pół godziny przy stole

Plan, którego nikt nie zna, nie działa. Ćwiczenie typu tabletop zajmuje pół godziny: osoby pełniące poszczególne role siadają przy stole i odgrywają scenariusz, niczego nie dotykając. Prowadzący (może to być Państwo sami) krok po kroku opowiada, co się dzieje.

Przykład: „Jest piątek, godzina 16:30. Księgowy otrzymuje wiadomość od stałego dostawcy: numer rachunku bankowego się zmienił, prosimy o przelanie dzisiaj zaległej faktury na kwotę 8400 euro na nowy numer. Co Państwo robią?”. A następnie: „Jest poniedziałek. Dzwoni dostawca: nic nie otrzymał”. Przy każdym kroku warto zadać pytanie: kto co robi, do kogo dzwonimy, gdzie znajduje się ten numer?

Po zakończeniu warto zapisać, czego zabrakło. Niemal zawsze jest to numer telefonu, hasło znane tylko jednej osobie albo niejasność co do tego, kto podejmuje decyzje. Należy poprawić kartę i wpisać nową datę. Ćwiczenie raz w roku i przegląd karty to dobry rytm dla małej firmy, podobnie jak po każdej większej zmianie (nowy dostawca IT, nowy program księgowy).

W praktyce: jak to wygląda

Warto umieścić w karcie również konkretne miejsca, w których mogą Państwo szybko zadziałać u własnych dostawców usług. W przypadku WebOké będzie to na przykład: przeglądanie i wylogowywanie aktywnych sesji w Moje WebOké, instrukcja postępowania „Moja strona internetowa została zhakowana” w podręczniku DirectAdmin oraz przywracanie kopii zapasowej. U innych dostawców hostingu, poczty i usług w chmurze istnieją podobne funkcje; warto je znaleźć, zanim okażą się potrzebne, i zapisać, gdzie się znajdują.

Podsumowanie

• Karta postępowania w razie incydentu (jedna kartka A4, na papierze) sprawia, że każdy w firmie w pierwszych minutach robi to, co właściwe: zgłasza, odłącza, ale nie wyłącza, nie podłącza kopii zapasowych, niczego nie płaci.
• Warto ustalić role: kto decyduje, kto wykonuje prace techniczne, kto się komunikuje, kto prowadzi dziennik zdarzeń.
• Dla każdego częstego rodzaju incydentu warto spisać krótkie postępowanie oraz kolejność najważniejszych systemów.
• Numery telefonów i plan należy przechowywać również poza komputerami.
• Raz w roku warto przeprowadzić półgodzinne ćwiczenie przy stole i zaktualizować kartę.

Quiz

Zadanie

Zadanie D8.1: Własna karta postępowania w razie incydentu. Proszę wykorzystać szablon z tej lekcji i wypełnić go dla własnej firmy: prawdziwe imiona i nazwiska, numery telefonów i miejsca. Proszę go wydrukować, powiesić oraz zrobić zdjęcie do telefonu. Następnie, z jednym współpracownikiem (lub samodzielnie), proszę odegrać w kwadrans scenariusz ze zmienionym numerem rachunku bankowego z tej lekcji i zapisać, czego zabrakło.

Przeczytaj więcej

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców postępowanie wygląda podobnie.

• Instrukcja DirectAdmin 18.2: Moja strona została zhakowana: plan działania
• Pomocy! Moja strona została zhakowana. Jak to naprawić lub temu zapobiec?
• Podręcznik WebOké 3.6: Przeglądanie aktywnych sesji i wylogowywanie się
• Niderlandzkie NCSC, Co robić w przypadku ataku ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
• Niderlandzkie NCSC, Plan reagowania na incydenty ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
• CERT Polska, zgłoszenia dotyczące incydentów: https://incydent.cert.pl/