Najważniejsze
Gdy system przestaje działać albo pojawia się podejrzenie przejęcia konta, chaos komunikacyjny może utrudnić reakcję. Przygotuj wcześniej role i kanały kontaktu, które działają również bez firmowej poczty.
Wyznacz koordynatora i zespół techniczny
Koordynator zbiera informacje, uruchamia uzgodnione kontakty i zapisuje decyzje. IT ocenia techniczny zakres zdarzenia oraz sposób ograniczenia skutków. Decyzje o odłączeniu elementów infrastruktury czy odtwarzaniu systemów powinny uwzględniać zachowanie dowodów i ciągłość krytycznych procesów.
Nie polecaj przypadkowym osobom kasowania plików lub masowego restartowania urządzeń. Przy przejętej stronie CERT Polska zwraca uwagę m.in. na ustalenie przyczyny, bezpieczne przywrócenie i dalszą obserwację. Konkretna metoda reakcji musi odpowiadać zdarzeniu.
Uruchom kanał ubezpieczeniowy
Sprawdź instrukcję cyber i skontaktuj się z właściwym centrum lub osobą wskazaną w umowie. Ustal organizację ekspertów i zasady ponoszenia wydatków. Zachowuj numery spraw i potwierdzenia, ale nie opóźniaj koniecznych działań bezpieczeństwa tylko z powodu nieobecności jednej osoby.
Oceń, czy doszło do naruszenia danych osobowych
Incydent informatyczny i naruszenie ochrony danych to nie zawsze to samo. Osoba odpowiedzialna za ten obszar powinna przeprowadzić ocenę. Obowiązek zgłoszenia do UODO zależy od przesłanek RODO; gdy zgłoszenie jest wymagane, zasadą jest działanie bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. Nie czekaj z oceną do pełnego zakończenia analizy technicznej.
Przykład modelowy: podejrzana wiadomość od klienta
Kontrahent zgłasza, że otrzymał zmieniony numer rachunku z firmowego adresu. Firma równolegle bada konto, weryfikuje przelewy oraz ocenia dane, do których mogła uzyskać dostęp osoba nieuprawniona. Nie sprowadza zdarzenia wyłącznie do zmiany hasła jednego pracownika.
Prowadź dziennik decyzji
- Kiedy i kto zauważył problem?
- Które systemy i procesy mogą być objęte zdarzeniem?
- Co potwierdzono, a co pozostaje hipotezą?
- Jakie działania podjęto i na czyje polecenie?
- Kto odpowiada za kolejny komunikat i termin aktualizacji?
Po przywróceniu pracy zaplanuj przegląd przyczyn i działań naprawczych. Zakończenie przestoju nie zawsze oznacza zakończenie obowiązków wobec klientów, organów lub ubezpieczyciela.
Przeczytaj również
Źródła i dalsza lektura
O zakresie ochrony decydują warunki konkretnej umowy. Przykłady modelowe ilustrują sposób analizy; nie opisują rzeczywistych spraw klientów.
BTLA Broker / porozmawiajmy
Sprawdź ochronę swojej firmy.
Napisz, czego dotyczy Twoja sytuacja. Wskaż rodzaj działalności i temat, który chcesz omówić.
32 307 70 37 [email protected]
Na start wystarczy temat rozmowy. Zespół BTLA ustali z Tobą, jakie informacje i dokumenty będą potrzebne.
Temat rozmowy: Incydent cyber w firmie: kto robi co w pierwszej fazie zdarzenia
Godziny obsługi: pon.–pt. 8:00–17:00.
Rozmowy po polsku lub angielsku.