Pierwsze 72 godziny po cyberataku
Co firma powinna zrobić w pierwszych 72 godzinach po cyberataku?
Uruchom zespół reagowania, ogranicz skutki z udziałem IT, zabezpiecz informacje o zdarzeniu i oceń obowiązki zgłoszeniowe. Nie czekaj 72 godzin z działaniem: ten termin ma szczególne znaczenie dla niektórych naruszeń danych osobowych, a nie dla każdego kroku reakcji.
Pierwsze godziny: ludzie i bezpieczny kanał
Wyznacz osobę prowadzącą zdarzenie, kontakt IT, osobę oceniającą prawo i odpowiedzialnego za komunikację. Jeżeli przejęta jest poczta, ustal zaufany kanał poza nią. Potwierdzaj tożsamość rozmówców, zwłaszcza gdy proszą o dostęp lub przelew. Rejestruj czas decyzji i osoby je podejmujące.
Działania izolujące wykonuj z kompetentnym zespołem technicznym. Nie uruchamiaj masowego kasowania, reinstalacji lub odtwarzania bez oceny skutków dla dowodów i bezpieczeństwa. Przy zagrożeniu życia albo pracy urządzeń fizycznych priorytetem jest bezpieczeństwo ludzi i właściwa procedura operacyjna.
Równolegle: polisa, bank i dostawcy
Odszukaj aktualną polisę i kontakt do podmiotu reagującego wskazanego w umowie. Nie ograniczaj się do wiadomości do agenta, jeśli dokumenty wymagają zgłoszenia innym kanałem. Przekaż fakty znane w danej chwili, oddzielając je od przypuszczeń. Uzgadniaj wydatki i działania wymagające zgody.
Jeśli doszło do nieautoryzowanego przelewu lub podejrzenia oszustwa płatniczego, niezwłocznie skontaktuj się z bankiem właściwym kanałem. Dostawcom przekazuj konkretne identyfikatory usług i przedział czasu. Zabezpiecz korespondencję, logi i umowy bez rozpowszechniania danych osobowych po całej organizacji.
Ocena naruszenia danych
RODO art. 33 przewiduje zgłoszenie organowi bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla praw lub wolności osób. Nie jest to uniwersalny termin liczony od otrzymania każdej podejrzanej wiadomości. Dokumentuj ocenę i jej podstawy.
Osobno ocenia się potrzebę zawiadomienia osób przy wysokim ryzyku. Niepełny obraz techniczny nie uzasadnia bezczynnego oczekiwania. Informacje można uzupełniać zgodnie z właściwym trybem. Obowiązki wobec kontrahentów, CSIRT lub organów sektorowych mogą działać równolegle i mieć inne przesłanki.
Do 72 godzin: kontrolowane odtwarzanie
Odtwarzaj procesy według priorytetów biznesowych po ocenie czystości środowiska i przyczyn ataku. Sam fakt uruchomienia serwera nie oznacza, że proces działa poprawnie. Sprawdź integralność danych, uprawnienia i zależności z usługami zewnętrznymi.
Utrzymuj dziennik kosztów i decyzji, zachowuj faktury oraz odnotuj, które zamówienia utracono, a które odroczono. Komunikuj potwierdzone fakty i plan następnej aktualizacji. Nie obiecuj klientom pełnego bezpieczeństwa ani dokładnej daty przywrócenia, jeśli zespół jej nie potwierdził.
Najczęstsze pytania
Czy zawsze mam 72 godziny na zgłoszenie szkody PZU?
Nie. Termin RODO i obowiązki wynikające z polisy to różne reżimy. Zgłoszenie ubezpieczeniowe wykonuj według dokumentów umowy.
Czy każdy incydent zgłasza się do UODO?
Nie automatycznie. Wymagana jest ocena naruszenia danych i ryzyka według art. 33 RODO oraz udokumentowanie decyzji.
Na czym opieramy informacje
- RODO: rozporządzenie 2016/679W szczególności art. 32–34; oficjalny tekst prawa UE.
- EROD: Wytyczne 9/2022 publikowane przez UODOZgłaszanie naruszeń, ustalanie świadomości i uzupełnianie informacji; odczyt 06.11.2026.
- PZU: OWU UZ/162/2023Dokument wskazany na oficjalnej stronie produktu jako aktualny; odczyt 06.11.2026.
Opisy scenariuszy mają charakter hipotetyczny. Daty źródeł podano przy poszczególnych dokumentach, gdy były dostępne.