Incydent bezpieczeństwa to stres i presja czasu. Od tego, co firma zrobi w pierwszych godzinach i dniach, zależy, czy skończy się na kłopocie, czy na poważnych stratach finansowych i wizerunkowych. RODO daje na zgłoszenie naruszenia do UODO 72 godziny – dlatego plan warto mieć, zanim będzie potrzebny.
Jak rozpoznać, że doszło do incydentu
Wyciek danych nie zawsze wygląda jak w filmach. Najczęściej zaczyna się od sygnałów, które łatwo zbagatelizować:
- klienci lub kontrahenci dostają z Twojej skrzynki dziwne maile, np. z „nowym numerem konta”,
- w poczcie pojawiają się reguły przekierowania, których nikt nie tworzył,
- pliki na serwerze lub dysku sieciowym mają zmienione rozszerzenia i nie da się ich otworzyć,
- ktoś zgubił służbowego laptopa lub telefon bez szyfrowania,
- dane firmy lub klientów pojawiają się w internecie albo ktoś żąda okupu.
Każdy z tych sygnałów należy traktować poważnie i od razu przekazać osobie odpowiedzialnej za IT.
Krok 1: Opanuj sytuację (pierwsze godziny)
Celem jest zatrzymanie dalszych szkód – bez niszczenia śladów, które będą potrzebne do analizy.
- Odizoluj zainfekowane urządzenia – odłącz je od sieci (kabel, Wi-Fi), ale nie wyłączaj i nie formatuj bez konsultacji ze specjalistą.
- Zmień hasła do przejętych kont i wyloguj wszystkie aktywne sesje. Jeśli nie było MFA – włącz je natychmiast.
- Zablokuj zdalny dostęp, który mógł zostać wykorzystany (VPN, pulpit zdalny, konta dostawców).
- Sprawdź kopie zapasowe – czy są aktualne i czy nie zostały naruszone. Kopia odseparowana od sieci jest w tym momencie na wagę złota.
Krok 2: Zbierz fakty i zabezpiecz dowody
Zanim zaczniesz komunikować cokolwiek na zewnątrz, ustal podstawowe fakty i zapisuj je na bieżąco:
- kiedy wykryto incydent i kto go zgłosił,
- które systemy, konta i urządzenia są objęte problemem,
- jakie dane mogły wyciec: dane osobowe klientów, pracowników, dane finansowe, dokumentacja,
- jakie działania zostały już podjęte i przez kogo.
Zachowaj logi systemów, wiadomości e-mail i zrzuty ekranu. Taka dokumentacja jest potrzebna do zgłoszenia, ewentualnego zawiadomienia organów ścigania i rozmów z ubezpieczycielem.
Krok 3: Oceń ryzyko i obowiązki z RODO
Jeśli incydent dotyczy danych osobowych, RODO nakłada na administratora konkretne obowiązki:
- Zgłoszenie do Prezesa UODO (art. 33 RODO) – bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem dla praw i wolności osób. Zgłoszenie składa się elektronicznie przez formularz udostępniony przez UODO; jeśli nie znasz jeszcze wszystkich szczegółów, można je uzupełniać później.
- Zawiadomienie osób, których dane dotyczą (art. 34 RODO) – gdy naruszenie może powodować wysokie ryzyko, np. wyciek numerów PESEL, danych do logowania czy danych finansowych.
- Wpis do wewnętrznego rejestru naruszeń – każde naruszenie, także to niezgłaszane do UODO, należy udokumentować.
Jeżeli firma ma inspektora ochrony danych (IOD), powinien on być zaangażowany od pierwszych godzin. Incydenty o charakterze cyberataku można także zgłosić do zespołu CERT Polska, który pomaga w analizie i ostrzega inne podmioty.
Krok 4: Komunikuj się jasno i uczciwie
Transparentność po incydencie chroni reputację skuteczniej niż milczenie. Klienci i kontrahenci zwykle wybaczają sam incydent, ale trudno im wybaczyć, gdy dowiadują się o nim z zewnątrz.
- Pracownicy – poinformuj ich jako pierwszych: co się stało, czego nie robić (np. nie otwierać określonych maili) i do kogo kierować pytania.
- Klienci i kontrahenci – przekaż konkretne informacje: jakie dane mogły zostać naruszone, co zrobiła firma i co oni mogą zrobić (np. zachować ostrożność przy prośbach o zmianę numeru konta).
- Jedna osoba do kontaktu – wyznacz rzecznika, żeby komunikaty były spójne.
Unikaj spekulacji i obietnic, których nie da się dotrzymać. Lepiej powiedzieć „analizujemy, przekażemy kolejne informacje jutro do południa” niż podać niesprawdzone dane.
Krok 5: Przywróć działanie i wyciągnij wnioski
Po opanowaniu sytuacji przychodzi czas na odbudowę i zmiany, które ograniczą ryzyko na przyszłość:
- odtworzenie systemów z czystych kopii zapasowych i weryfikacja, że atakujący nie zostawił „tylnych drzwi”,
- usunięcie przyczyny – aktualizacje, zamknięcie niepotrzebnych usług, wdrożenie MFA, zmiana uprawnień,
- spotkanie podsumowujące: co zadziałało, co zawiodło, co zmieniamy w procedurach,
- szkolenie zespołu na podstawie realnego przypadku – to najskuteczniejsza lekcja.
Przygotuj się, zanim będzie potrzebne
Najlepszy moment na plan reagowania na incydenty jest teraz, w spokojnym czasie. Prosty plan dla małej firmy powinien zawierać:
- listę kontaktów: kto decyduje, kto zajmuje się IT, IOD, kancelaria, ubezpieczyciel,
- instrukcję pierwszych kroków dla pracowników („odłącz od sieci, zadzwoń do…”),
- gotowe szablony komunikatów dla pracowników i klientów,
- sprawdzone, regularnie testowane kopie zapasowe przechowywane poza główną siecią,
- wzór wpisu do rejestru naruszeń i informację, jak złożyć zgłoszenie do UODO.
Najczęściej zadawane pytania
Czy każdy wyciek danych trzeba zgłaszać do UODO?
Nie. Zgłoszenie nie jest wymagane, jeśli jest mało prawdopodobne, by naruszenie powodowało ryzyko dla praw lub wolności osób – np. gdy zgubiony laptop był w pełni zaszyfrowany. Każde naruszenie trzeba jednak udokumentować w wewnętrznym rejestrze.
Czy po ataku ransomware warto zapłacić okup?
Zapłata nie gwarantuje odzyskania danych ani tego, że nie zostaną opublikowane, a finansuje kolejne ataki. Decyzję zawsze warto skonsultować ze specjalistami i organami ścigania. Najlepszą ochroną są odseparowane kopie zapasowe.
Kto w firmie powinien prowadzić działania po incydencie?
Warto wcześniej wyznaczyć osobę decyzyjną (np. członka zarządu), osobę odpowiedzialną za IT lub zewnętrznego partnera IT oraz – jeśli jest – inspektora ochrony danych. Jasny podział ról oszczędza cenne godziny.