1
Rozpoznanie incydentu
Pierwsza minuta
Kto: Każdy pracownik, który zauważy coś nietypowego.
Typowe sygnały: dziwny mail w „Wysłanych", logowanie z innego kraju, kod MFA bez Twojej akcji, pliki z dziwnym rozszerzeniem, komputer działa wolno.
Działanie: Zatrzymaj się. Nie usuwaj niczego. Zanotuj, co widzisz, i jeśli się da - odłącz sieć.
2
Zgłoszenie do IT
Do 5 minut
Kanał: Telefon (najlepiej), mail do IT, albo procedura firmy.
Co powiedzieć: Krótko - o czym, kiedy, co robiłeś wcześniej, czy kliknąłeś link, jakie konto.
Ważne: Nie usuwaj podejrzanych maili, nie czyść historii, nie próbuj diagnozować.
3
Ograniczenie / Izolacja
0-30 minut
IT robi: Wylogowuje sesje z przejętego konta, zmienia hasła, wyłącza dostęp, izoluje zainfekowaną maszynę od sieci.
Ty: Dostarczasz informacje o innych systemach, na które miałeś dostęp; nie używasz zaatakowanego urządzenia.
Cel: Zatrzymać rozprzestrzenianie się ataku na inne konta i komputery.
4
Analiza i śledztwo
30 minut - kilka godzin
IT zbiera: Logi dostępu, pliki systemowe, komunikaty błędów, historię przeglądania, logowanie na innych maszynach.
Pytania: Czy atakujący miał dostęp do danych osobowych? Czy inni pracownicy są zagrożeni? Jak długo miał dostęp do systemu?
Raporty: IT przygotowuje raport o skali incydentu dla kierownika bezpieczeństwa / Inspektora Ochrony Danych (IOD).
Czy w grę weszły dane osobowe?
Tak - Wyciek danych
Mail z danymi klientów wysłany do kogoś obcego • Hasła w wyciekach • Listy pracowników
Następny krok: Zgłoszenie do Inspektora Ochrony Danych (IOD) w ciągu 72 godzin (RODO art. 33).
Możliwe działania: Zawiadomienie do PUODO (Prezesa Urzędu Ochrony Danych Osobowych), komunikat do klientów, zawiadomienie do prokuratury.
Nie - Incydent techniczny
Malware na urządzeniu • Złośliwe logowanie • Ransomware na wewnętrzne pliki
Następny krok: Pełne wznowienie systemów, update bezpieczeństwa, komunikat wewnętrzny.
5
Wznowienie i wnioski
1-7 dni
Wznowienie: System przywracany do stanu sprzed incydentu. Testy bezpieczeństwa potwierdzają czystość.
Wnioski: Jakie kontrole zawiodły? Jak to mogło się stać? Co zmienić, żeby się nie powtórzyło?
Komunikacja: Zespół bezpieczeństwa dzieli się lekcjami na spotkaniu. Czasem: szkolenie dla wszystkich pracowników.