Skuteczne reagowanie na cyberzagrożenia wymaga od organizacji nie tylko zaawansowanych systemów technicznych, ale przede wszystkim rzetelnego przygotowania procesowego. W obliczu rosnącej liczby ataków, takich jak ransomware, kluczowe staje się wdrożenie sformalizowanych polityk oraz regularne testowanie środków bezpieczeństwa, które realnie chronią ciągłość działania Twojego przedsiębiorstwa.
Brak procedur a reagowanie na cyberzagrożenia w praktyce
Cyberbezpieczeństwo powinno być rozumiane jako proces. W kwietniu 2024 roku Naczelna Izba Kontroli (NIK) opublikowała raport dotyczący stanu cyberbezpieczeństwa w wybranych urzędach gmin z województwa zachodniopomorskiego. Stwierdzono w nim, że samorządy nie były w stanie zapewnić skutecznej ochrony przed cyberatakami. Wynikało to m.in. z uchybień, takich jak:
- niewystarczająca świadomość zagrożeń;
- brak skutecznych procedur reagowania na zagrożenia;
- wykorzystywanie oprogramowania z krytycznymi lukami bezpieczeństwa;
- brak weryfikacji możliwości odtworzenia danych z kopii zapasowych (testowania);
- korzystanie z usług chmurowych bez należytych zasad i kontroli;
- nieprzeprowadzanie szkoleń z zakresu cyberbezpieczeństwa.
W wystąpieniu pokontrolnym podkreślono, że jednostki posiadały dokumentację z zakresu Systemu Zarządzania Bezpieczeństwem Informacji (SZBI), lecz była niekompletna i nie odpowiadała standardom (np. normie ISO 27001).
Wnioski z kontroli NIK w dwudziestu czterech jednostkach samorządu terytorialnego (JST) z kwietnia 2025 roku wskazują na kolejne przyczyny nieskutecznego reagowania na cyberzagrożenia. Ponad 70% organizacji nie ustanowiło polityki ciągłości działania, która jest kluczowa w przypadku ataku ransomware na podmiot publiczny. W połowie skontrolowanych jednostek stwierdzono poniższe nieprawidłowości:
- niedostateczna identyfikacja zasobów wymagających ochrony;
- niewystarczające zabezpieczenia serwerowni;
- błędy w tworzeniu, przechowywaniu lub testowaniu kopii zapasowych.
Reagowanie na cyberzagrożenia a ochrona danych osobowych
W zakresie reagowania na cyberzagrożenia ważna jest również ochrona danych osobowych. Prezes Urzędu Ochrony Danych Osobowych podkreślał, że w tym zakresie kluczowa jest analiza ryzyka, która pozwala na poprawne dopasowanie stosowanych środków technicznych i organizacyjnych. Samo stosowanie zabezpieczeń informatycznych nie zapewnia, że są one dostosowane do ryzyka naruszenia ochrony danych osobowych, co organ nadzorczy podkreślał w ramach wydawanych decyzji (DKN.5130.2559.2020, DKN.5112.35.2021, DKN.5131.1.2021).
Artykuł 32 ust. 1 lit. b unijnego Ogólnego Rozporządzenia o Ochronie Danych (RODO) zobowiązuje administratorów do zapewniania poufności, integralności, dostępności i odporności systemów oraz usług przetwarzania. W tym kontekście ważne jest to, że reagowanie na cyberzagrożenia nie powinno obejmować wyłącznie ochrony przed kradzieżą danych, lecz również m.in. możliwość przywracania ich po zaszyfrowaniu wskutek ataku ransomware. W tym celu ważne jest regularne testowanie stosowanych środków (art. 32 ust. 1 lit. d RODO).
Przykład 1.
Organizacja planuje tworzyć kopie zapasowe określonych rodzajów danych. W tym celu może wykorzystać model znany jako „3-2-1”, czyli tworzenie trzech kopii danych na dwóch różnych nośnikach, z czego jeden znajduje się w innym miejscu od pozostałych. Kluczowe jest to, aby przynajmniej jedna kopia nie była możliwa do zaszyfrowania podczas ataku ransomware (np. odizolowana od sieci) oraz odporna na ewentualne uszkodzenia (np. wskutek pożaru serwerowni – DKN.5131.13.2022).
Informacje o zagrożeniach i odpowiedzialność
W kwietniu 2026 roku na łamach witryny NASK opisano wystąpienie Marcina Dudka, szefa CERT Polska (CSIRT-u poziomu krajowego). Ekspert podkreślał, że dochodzi do sytuacji, gdzie systemy bezpieczeństwa wykrywają ataki, lecz sygnały o nich nie zostały poddane analizie przez osoby pracujące w danej organizacji. Dudek zaznaczył konieczność jasnego przypisywania odpowiedzialności za cyberbezpieczeństwo oraz inwestowania zarówno w ludzi, jak i procesy.
Przykład 2.
Organizacja postanawia wdrożyć monitorowanie zdarzeń w sieci na podstawie darmowego oprogramowania open source. Wyniki analizy powinny być w ramach możliwości nieustannie oraz cyklicznie analizowane przez wyznaczoną do tego osobę, która jest świadoma swoich obowiązków. Powinny również zostać jasno określone sposoby reagowania na dane zdarzenia, np. weryfikowanie logowania do systemu o nietypowej porze bądź z nieoczekiwanej lokalizacji.
Przykład 3.
29 grudnia 2025 roku cyberatak spowodował zerwanie łączności co najmniej 30 polskich farm wiatrowych i fotowoltaicznych z operatorem sieci dystrybucyjnej. Cztery dni wcześniej atakujący wykonywał skany sieci i próby logowania. Incydent pokazuje rolę monitorowania sieci w zakresie reagowania na cyberzagrożenia, szczególnie w ich wykrywaniu („Raport z incydentu w sektorze energii 29.12”, CERT Polska).
Kultura organizacyjna
Bardzo ważnym elementem reagowania na cyberzagrożenia jest tworzenie odpowiedniej kultury organizacyjnej, która umożliwia pracownikom zgłaszanie incydentów (bądź nieprawidłowości) w przejrzysty sposób, bez obawy o przypisanie osobie pełnej winy za dane zdarzenie. Brytyjskie NCSC (Narodowe Centrum Cyberbezpieczeństwa) w jednym z opracowań jasno podkreśla, że to właśnie pracownicy stanowią „system wczesnego ostrzegania”.
W tym zakresie ważną rolę może odegrać inspektor ochrony danych – należy przy tym podkreślić, że jego rola jest przede wszystkim doradcza (art. 39 ust. 1 lit. a RODO), za stosowanie odpowiednich środków bezpośrednio odpowiada zaś administrator.
Inspektor ochrony danych może odegrać ważną rolę w kulturze organizacyjnej, ale ważne jest zwrócenie uwagi na brak powierzania obowiązków powodujących konflikt interesów (art. 38 ust. 6 RODO, DKN.5110.16.2022).
Świadomość własnych zasobów
Ochrona przed cyberzagrożeniami musi opierać się na znajomości własnego środowiska informatycznego. W przytaczanej wcześniej kontroli NIK z 2025 roku wykazano, że aż 37% obiektów nie zidentyfikowało „kluczowych elementów infrastruktury i usług IT”. Naczelna Izba Kontroli podkreśliła, że uniemożliwia to przywrócenie wspomnianych elementów w przypadku zakłócenia ciągłości działania. W przypadku podmiotów publicznych warto dodać, że taki wymóg został opisany w Krajowych Ramach Interoperacyjności (§ 19 ust. 2 pkt 2).
W opracowaniu NASK „Sprzęt firmowy pod kontrolą – 12 filarów bezpieczeństwa” jasno podkreślono konieczność inwentaryzacji sprzętu (oraz danych), co powinno być procesem – nie jednorazowym spisem. Wśród najważniejszych zasad wyróżniono m.in. sporządzenie kompletnej listy sprzętu i oprogramowania. Inwentaryzacja powinna obejmować również kamery czy urządzenia IoT (Internetu rzeczy).
Komunikacja i zgłaszanie
Ważnym i często niedocenianym aspektem reagowania na cyberzagrożenia jest komunikowanie oraz zgłaszanie incydentów. Zależnie od typu jednostki, ważna jest przynajmniej jedna z poniższych regulacji:
- RODO: zgłoszenie naruszenia organowi nadzorczemu w ciągu 72 godzin od jego stwierdzenia (chyba że stwierdzono małe prawdopodobieństwo naruszenia praw i wolności osób fizycznych – art. 33) oraz zawiadomienie osoby o naruszeniu ochrony danych (art. 34);
- Ustawa z 5 lipca 2018 roku o krajowym systemie cyberbezpieczeństwa (dalej: ustawa o KSC): wczesne ostrzeżenie o incydencie poważnym w ciągu 24 godzin do właściwego CSIRT-u sektorowego (art. 11 ust. 1 pkt 4) oraz zgłoszenie incydentu poważnego w ciągu 72 godzin do właściwego CSIRT-u sektorowego (art. 11 ust. 1 pkt 4a ustawy o KSC).
W przypadku wystąpienia incydentu ważne jest jasne określenie sposobu komunikacji wewnętrznej oraz zewnętrznej – szczególnie w sytuacji, gdy informacja o zdarzeniu może stać się medialna (np. wskutek kradzieży danych podczas ataku ransomware oraz planowej publikacji w tzw. darknecie).
Przykład 4.
Atak ransomware znacznie utrudnił korzystanie z poczty elektronicznej oraz komunikatorów wykorzystywanych na co dzień w pracy. W tym przypadku należy rozważyć praktyczny aspekt awaryjnego kanału komunikacji, który będzie odporny na takie zagrożenie.
Podsumowanie
Przeciwdziałanie i reagowanie na zagrożenia w cyberprzestrzeni wymaga wykorzystania zarówno odpowiednich środków organizacyjnych (np. określenia procedur) i technicznych (np. tworzenia i testowania kopii zapasowych). Raporty Najwyższej Izby Kontroli jasno pokazują konieczność wzrostu świadomości odnośnie do cyberzagrożeń oraz odpowiedzialnego podejścia do cyberbezpieczeństwa.
Praktyka pokazuje konieczność jasnego wyznaczania osób odpowiedzialnych za cyberbezpieczeństwo i ryzyko. Należy przy tym podkreślić, że nowelizacja ustawy o KSC nadaje bezpośrednią odpowiedzialność za realizowanie określonych zadań na kierowników podmiotów ważnych i kluczowych (art. 8c ust. 1 ustawy o KSC).
