Incydenty cyber — od rozpoznania do skutków biznesowych
Jak rozpoznać rodzaj cyberincydentu i wybrać właściwe działania?
Najpierw ustal, czy zagrożone są dostępność usług, poufność informacji, poprawność danych czy kilka tych elementów jednocześnie. Nazwa ataku nie przesądza ani o obowiązkach firmy, ani o odpowiedzialności ubezpieczyciela.
Wybierz zagadnienie
Przejdź bezpośrednio do odpowiedzi, która pasuje do Twojej sytuacji.
Cztery pytania otwierające reakcję
Który proces przestał działać i kto odczuwa skutki? Jakie konta, urządzenia i dane są podejrzane? Czy zdarzenie trwa? Kto może podjąć decyzję o odłączeniu systemu lub przejściu na tryb awaryjny? Zapis odpowiedzi tworzy pierwszy opis incydentu, nawet gdy przyczyna pozostaje nieznana.
Rozdzielaj fakty od hipotez. „Nie możemy otworzyć plików od 8:15” jest obserwacją. „Wszystkie dane wykradziono” wymaga potwierdzenia. Przedwczesna diagnoza może skierować zespół na błędny tor i utrudnić komunikację z klientami.
Wybierz ścieżkę według objawów
Zaszyfrowane pliki kierują do analizy ransomware, ale nie wykluczają wcześniejszego wycieku. Nieznane logowania i reguły przekazywania wiadomości wskazują na przejęcie poczty. Żądanie zapłaty wymaga odrębnej analizy cyberwymuszenia, także bez szyfrowania.
Niedostępność serwisu może wynikać z DDoS, awarii, błędu wdrożenia albo zdarzenia u dostawcy. Ustalanie przyczyny ma znaczenie dla przywrócenia działania i dla kwalifikacji ubezpieczeniowej. Nie nazywaj każdego przestoju cyberatakiem.
| Objaw | Pierwszy kierunek analizy |
|---|---|
| Zaszyfrowane pliki | Ransomware i możliwość wycieku |
| Obce logowanie | Poczta, sesje, uprawnienia |
| Usługa niedostępna | DDoS, awaria, dostawca |
| Publiczny folder | Zakres danych i ryzyko dla osób |
Uruchom równoległe tory pracy
Osoba techniczna ogranicza zasięg i zabezpiecza ślady; właściciel procesu organizuje obsługę zastępczą; osoba odpowiedzialna za dane ocenia naruszenie; koordynator prowadzi dziennik decyzji. Jedna osoba zatwierdza komunikaty, aby sprzeczne informacje nie wychodziły do różnych odbiorców.
CERT Polska udostępnia formularze zgłoszenia incydentu. Jest to odrębna ścieżka od zawiadomienia ubezpieczyciela, organów ścigania lub UODO. Jeden formularz nie zastępuje wszystkich obowiązków. Kontakty warto mieć także poza firmową pocztą.
Jak przejść od zdarzenia do rozmowy o polisie
Do oceny przygotuj oś czasu, listę procesów, rodzaj danych i wstępny podział wydatków. Nie przesyłaj haseł, kluczy ani pełnych baz klientów w zwykłym zapytaniu. Odpowiedni kanał wymiany dowodów uzgodnij z zespołem reagującym.
Przed zakupem opisz agentowi najważniejsze zależności i własną tolerancję przestoju. Po zdarzeniu korzystaj z kanału wskazanego w posiadanej polisie. Rozmowa sprzedażowa nie jest obsługą alarmową incydentu.
Karta pierwszego zgłoszenia
Zapisz telefon dostępny poza firmową domeną, nazwę procesu i moment pierwszej obserwacji. Dodaj osobę uprawnioną do decyzji oraz dotychczas wykonane kroki. Ustal najbliższy termin aktualizacji informacji. Taki opis pomaga kierować zgłoszenie do właściwej osoby i ogranicza powtarzanie sprzecznych wersji wydarzeń.
Najczęstsze pytania
Czy mogę czekać na pełną analizę przed zgłoszeniem?
Nie warto uzależniać pierwszego kontaktu od gotowego raportu. Zgłoś znane fakty zgodnie z polisą i uzupełniaj ustalenia.
Czy jeden incydent może mieć kilka nazw?
Tak. Phishing może rozpocząć przejęcie poczty, kradzież informacji i wymuszenie. Działania powinny odzwierciedlać wszystkie potwierdzone skutki.
Na czym opieramy informacje
- CERT Polska: zgłaszanie incydentówKanały zgłoszeń i informacje do zgłoszenia, odczyt 06.11.2026.
- ENISA: incident response and cyber crisis managementRola przygotowania i koordynacji odpowiedzi na incydenty; odczyt 06.11.2026.
Opisy scenariuszy mają charakter hipotetyczny. Daty źródeł podano przy poszczególnych dokumentach, gdy były dostępne.