Awaria systemu, podejrzana próba logowania, wyciek danych z bazy klientów. To wszystko incydenty bezpieczeństwa, które mogą się przytrafić każdej organizacji. Sposób reakcji w pierwszych minutach często decyduje o tym, czy firma zostanie przy drobnym kłopocie, czy poniesie poważne straty finansowe i wizerunkowe. W ICT Future od 2016 roku pomagamy biznesowi, instytucjom kultury, jednostkom administracji oraz placówkom ochrony zdrowia przygotować się na takie sytuacje i sprawnie nimi zarządzać.
Co oznaczają incydenty bezpieczeństwa w praktyce firmy?
Incydent bezpieczeństwa to każde zdarzenie, które narusza poufność, integralność lub dostępność informacji oraz systemów teleinformatycznych. W praktyce mówimy o sytuacji, w której dane firmy znalazły się tam, gdzie znaleźć się nie powinny, zostały zmienione bez uprawnień albo przestały być dostępne dla osób, które ich potrzebują.
Pojęcie obejmuje szeroki zakres zdarzeń. Może to być pomyłka pracownika, który wysłał załącznik z danymi osobowymi na niewłaściwy adres. Może to być atak phishingowy zakończony przejęciem hasła do skrzynki pocztowej. Może to być awaria serwera, kradzież laptopa służbowego albo próba włamania wykryta przez system monitorujący.
Z naszego doświadczenia wynika, że wiele firm myli incydent z prostą usterką techniczną. Tymczasem każde naruszenie zasad bezpieczeństwa informacji ma znaczenie. Nawet pozornie błahe zdarzenie bywa sygnałem większego ataku albo wskazuje na lukę w procedurach. Dlatego zalecamy klientom konsekwentne rejestrowanie wszystkich nietypowych sytuacji, niezależnie od ich wstępnej oceny. Spójna ewidencja pozwala później analizować trendy i wcześniej wychwytywać próby ataków.
Na czym polega klasyfikacja incydentów bezpieczeństwa?
Klasyfikacja incydentów bezpieczeństwa porządkuje zgłoszenia według poziomu zagrożenia, charakteru zdarzenia i wpływu na działalność firmy. Bez takiego podziału zespół IT traci czas na ustalanie, czym powinien zająć się w pierwszej kolejności, a najpoważniejsze incydenty czekają w kolejce za rutynowymi zgłoszeniami.
Najczęściej stosujemy podział według dwóch kryteriów. Pierwszy to charakter zdarzenia. Drugi to poziom krytyczności:
- Krytyczne, gdy zagrożona jest ciągłość działania firmy lub dane wrażliwe.
- Wysokie, gdy incydent dotyczy ważnych systemów, ale są one nadal częściowo dostępne.
- Średnie, gdy zdarzenie ma ograniczony wpływ i da się je opanować bez przerw w pracy.
- Niskie, gdy mówimy o naruszeniu procedur bez bezpośrednich strat.
Typy zdarzeń obejmują między innymi:
- Próby nieuprawnionego dostępu i ataki na konta użytkowników.
- Złośliwe oprogramowanie, w tym ransomware.
- Wycieki i ujawnienia danych osobowych.
- Awarie sprzętowe wpływające na bezpieczeństwo informacji.
- Naruszenia procedur przez pracowników, na przykład udostępnienie hasła.
Dobrze opracowana klasyfikacja przyspiesza reakcję i pomaga spełnić wymagania normy ISO/IEC 27001:2022 oraz Ustawy o KSC, które dotyczą wielu naszych klientów z sektora publicznego i komunalnego.
Jak zarządzać incydentami bezpieczeństwa w biznesie?
Zarządzanie incydentami bezpieczeństwa to ciągły proces, a nie jednorazowa akcja po wykryciu zagrożenia. Składa się z kilku etapów, które trzeba zaplanować zanim pojawi się problem. Improwizacja w trakcie ataku zwykle kończy się stratami.
Proces obejmuje pięć głównych etapów:
- Przygotowanie. Opracowanie procedur, podział ról, szkolenia zespołu i wdrożenie narzędzi monitorujących.
- Wykrycie. Identyfikacja zdarzenia na podstawie alertów systemowych, zgłoszeń pracowników lub raportów z monitoringu.
- Analiza i klasyfikacja. Ocena charakteru incydentu, jego wpływu i poziomu krytyczności.
- Reakcja i ograniczenie szkód. Izolacja zagrożenia, zabezpieczenie dowodów, powiadomienie odpowiednich osób i organów.
- Wnioski i naprawa. Przywrócenie działania systemów oraz aktualizacja procedur na podstawie zebranych doświadczeń.
W ICT Future wspieramy firmy na każdym z tych etapów. Nasz zespół działa w modelu SOC i monitoruje systemy klientów całą dobę w ramach usługi ICT SmartSOC. Korzystamy z narzędzi klasy SIEM oraz SOAR, które gromadzą logi z różnych systemów i automatycznie wykrywają nietypowe wzorce zachowań. Dzięki temu odróżniamy realne ataki od fałszywych alarmów i przekazujemy klientowi konkretne rekomendacje działania. Tak wygląda skuteczne zarządzanie incydentami bezpieczeństwa w organizacji bez nadmiernego obciążania jej zespołu.
Efektywne procedury zgłaszania incydentów bezpieczeństwa
Procedura zgłaszania incydentów bezpieczeństwa powinna być prosta, jasna i znana wszystkim pracownikom. Skomplikowane formularze oraz niejasne ścieżki sprawiają, że ludzie ukrywają drobne błędy, a o poważniejszych zdarzeniach mówią z opóźnieniem. Każda minuta zwłoki zwiększa straty.
Dobra procedura zawiera kilka elementów:
- Jeden, łatwy do zapamiętania kanał zgłoszeń, np. dedykowany adres mailowy lub numer telefonu helpdesku.
- Krótki formularz lub szablon z najważniejszymi pytaniami: co się stało, kiedy, kto zauważył, jakie systemy są zagrożone.
- Wskazanie osoby odpowiedzialnej za przyjęcie zgłoszenia oraz termin pierwszej reakcji.
- Gwarancja, że zgłaszający nie zostanie ukarany za uczciwe zgłoszenie własnego błędu.
- Zasady eskalacji incydentów o wyższej krytyczności do zarządu i ewentualnie do organów zewnętrznych.
W przypadku naruszenia ochrony danych osobowych obowiązuje zgłoszenie do Prezesa Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od wykrycia incydentu. Firmy objęte Ustawą o KSC raportują też zdarzenia do właściwego CSIRT.
Pomagamy klientom przygotować całą dokumentację: politykę zgłaszania incydentów, rejestr zdarzeń, formularze i wzory pism do organów nadzoru. Nasze audyty RODO oraz wdrożenia Systemu Zarządzania Bezpieczeństwem Informacji zgodnego z normą ISO 27001:2022 obejmują ten obszar standardowo.
Skuteczne wsparcie w reagowaniu na incydenty
Skuteczne reagowanie na incydenty bezpieczeństwa potrzebuje współpracy technologii, procedur i ludzi. W ICT Future budujemy wszystkie trzy obszary razem, dopasowując je do specyfiki firmy klienta.
W obszarze technologii dostarczamy zabezpieczenia sieciowe (firewalle, UTM, ochronę przed atakami DDoS), oprogramowanie EDR chroniące komputery i urządzenia mobilne, systemy backupu oraz narzędzia do zarządzania urządzeniami końcowymi w modelu MDM. Wdrażamy też rozwiązania klasy SIEM i SOAR, dzięki którym wykrywanie zagrożeń przebiega automatycznie i szybciej niż w analizie ręcznej.
W obszarze procedur przygotowujemy klientów do audytów RODO, audytów zgodności KSC oraz wdrożeń ISO 27001:2022. Tworzymy dokumentację dopasowaną do realiów firmy, a nie skopiowane szablony. Doświadczenie w obsłudze instytucji kultury, jednostek samorządu terytorialnego i placówek ochrony zdrowia pomaga nam mówić językiem różnych branż.
W obszarze ludzi prowadzimy szkolenia Security Awareness i kontrolowane symulacje phishingu. Uczymy pracowników, jak rozpoznać zagrożenie i komu natychmiast zgłosić podejrzane zdarzenie. Nasze Centrum Bezpieczeństwa Cyfrowego ICT SmartSOC działa 24 godziny na dobę i przejmuje monitoring systemów, dając zespołowi klienta przestrzeń na pracę nad biznesem.
Kluczowa jest właściwa reakcja
Incydenty bezpieczeństwa pojawiają się prędzej czy później w każdej organizacji. Różnica między firmą, która szybko wraca do pracy, a tą, która ponosi długotrwałe straty, zwykle leży w przygotowaniu. Jeśli chcesz sprawdzić, jak Twoja organizacja reaguje na takie zdarzenia, skontaktuj się z nami. Przeprowadzimy audyt, dopasujemy procedury i zadbamy o ochronę odpowiednią dla profilu Twojej działalności.