Pierwszy kontakt: znajdź właściwy numer

Dane podmiotu reagującego znajdują się w indywidualnej polisie. Należy przechowywać je również poza systemem, który może zostać zaszyfrowany. Telefon do agenta służy wsparciu w sprawach ubezpieczenia, ale nie zastępuje wymaganej ścieżki reagowania.

Nie publikujemy wymyślonej infolinii cyber. Ogólny kontakt PZU ani przypadkowy adres znaleziony w archiwalnej prezentacji nie powinny zastępować danych właściwych umowie. Jeżeli nie masz polisy pod ręką, ustal kanał z PZU lub agentem bezzwłocznie i zachowaj potwierdzenie podjętych prób.

Zgłoś to, co wiesz

Przygotuj numer polisy, nazwę podmiotu, dane osoby decyzyjnej, czas wykrycia oraz krótki opis objawów. Wskaż niedostępne systemy, możliwy zakres danych i dotychczasowe czynności. Wyraźnie odróżnij potwierdzone fakty od podejrzeń. Brak pełnej diagnozy nie jest powodem, by czekać z pierwszym kontaktem.

Ustal bezpieczny kanał przekazywania materiałów. Nie wysyłaj haseł i pełnych baz przez zwykły formularz internetowy. Dokumenty, logi i kopie dowodowe należy przekazywać zgodnie z uzgodnieniami zespołu reagowania, z kontrolą uprawnień i odpowiednim zabezpieczeniem.

Zachowaj dowody i uzgadniaj działania

Zapisuj chronologię, osoby podejmujące decyzje, zmiany systemowe i ponoszone koszty. Zespół techniczny powinien zabezpieczyć dostępne logi i ślady przed ich nadpisaniem, przy równoległym ograniczaniu szkody. Sposób izolacji i odtworzenia zależy od rzeczywistej sytuacji oraz instrukcji specjalistów.

Pkt 6.3 i 6.4 OWU dotyczą uzgadniania określonych działań oraz współpracy. Nie uznawaj roszczeń, nie zawieraj ugód i nie zrzekaj się praw bez sprawdzenia wymaganej zgody. Koszty cyberwymuszenia oraz PR mają dodatkowe warunki dotyczące uprzedniej zgody. Ratowanie działalności wymaga koordynacji, nie samodzielnego założenia, że każda decyzja zostanie później zaakceptowana.

Równoległe obowiązki pozostają ważne

Zgłoszenie ubezpieczycielowi nie zastępuje oceny naruszenia ochrony danych, powiadomienia właściwego CSIRT ani zawiadomienia organów ścigania, jeśli są potrzebne. RODO przewiduje własne przesłanki i termin 72 godzin dla zgłoszenia naruszenia organowi, gdy obowiązek zachodzi. To inny zegar niż termin umowny.

Ustanów osobę koordynującą komunikację zarządu, IT, prawnika i ubezpieczyciela. Po opanowaniu sytuacji przygotuj dokumentację skutków, odtworzenia i wydatków. Nie zamykaj sprawy na podstawie samego powrotu serwera: mogą pozostać kwestie poufności, roszczeń i bezpiecznego wznowienia pracy.

Informacje do pierwszego zgłoszenia