Obowiązki ustawowe
Znowelizowana CyberBezpU wymaga, aby przekazanie informacji o incydencie poważnym odbyło się w trzech krokach. Pierwszym z nich jest przekazanie tzw. wczesnego ostrzeżenia, drugim zgłoszenie incydentu, a ostatnim przekazanie sprawozdania końcowego.
Terminy ustawowe
Pierwszy etap raportowania (wczesne ostrzeżenie) powinien być zrealizowany nie dłużej niż w ciągu 24 godzin od momentu jego wykrycia. Czas na zgłoszenie incydentu ustawodawca wydłużył w stosunku do pierwszego kroku o 48 godzin, co oznacza, że ten obowiązek należy wykonać nie dłużej niż w ciągu 72 godzin (ale od tego samego momentu, tj. od jego wykrycia). Trzeci krok, sprawozdanie końcowe podmiot zobowiązany przekazuje w terminie do miesiąca od zgłoszenia incydentu.
Do 24/72 godzin czy natychmiast?
W przypadku wczesnego ostrzeżenia i zgłoszenia incydentu ustawodawca wprowadził w istocie obowiązek niezwłocznego zgłoszenia, z zakreślonym jednocześnie terminem maksymalnym. Tym samym podmiot zobowiązany powinien dopilnować, aby oba obowiązki były wykonane jak najszybciej. Obowiązek przekazania obu informacji niezwłocznie powinien mieć odzwierciedlenie w wewnętrznych procedurach obsługi incydentów.
Organizacja obsługi incydentu
Obowiązek ustawowy jest jednoznaczny tworząc ramy czasowe obsługi incydentu, niezależnie od dnia tygodnia, w którym nastąpi. Wdrożenie w organizacji obowiązków instytucji wynikających CyberBezpU wymaga takiego zaprojektowania systemu obsługi incydentu, aby te obowiązki terminowo wykonać.
W piątek o godz. 15:55 system bezpieczeństwa przekazuje monit o zdarzeniu, które potencjalnie może być incydentem wymagającym zgłoszenia (atak zewnętrzny uniemożliwia świadczenie kluczowej usługi podmiotu). Osoba odpowiedzialna za bezpieczeństwo rozpoczyna analizę, jednak ustalenie charakteru zdarzenia wymaga dodatkowej weryfikacji. Ostatecznie w piątek o godz. 17:00 potwierdza, że doszło do incydentu. Podjęcie działań raportowych przesuwa na pierwszy dzień roboczy po zdarzeniu, czyli poniedziałek.
W opisanej sytuacji, zważywszy na brzmienie przepisów regulujących terminy raportowania, organizacja nie powinna zakładać, że wykrycie incydentu w piątek po południu przesuwa termin zgłoszenia na kolejny dzień roboczy. Ustawodawca nie przewidział wyłączeń tego rodzaju w obsłudze incydentów. W związku z tym, procedura obsługi incydentów funkcjonująca w organizacji powinna uwzględniać również zdarzenia wykrywane poza standardowymi godzinami pracy i zapewniać możliwość dokonania kwalifikacji oraz zgłoszenia incydentu w wymaganym terminie, czyli wczesne ostrzeżenie powinno zostać przekazane do soboty, do godz. 17:00, chyba że jest możliwe niezwłoczne przekazanie tej informacji.
Rozpoczęcie biegu terminu
Procedury przyjęte w organizacji powinny jasno określać moment, w którym termin na przekazanie wczesnego zgłoszenia oraz zgłoszenie incydentu rozpoczyna bieg.
W piątek, o godz. 21:30 system bezpieczeństwa wykrywa atak DDoS, w wyniku którego użytkownicy tracą dostęp do usługi. Procedura obsługi incydentów wyznaczyła koordynatora obsługi incydentu oraz wprowadziła system dyżurów. Osoba pełniąca dyżur potwierdza incydent, jednak pracownik odpowiedzialny za formalne zgłoszenia nie pracuje w weekend. Czy organizacja może rozpocząć procedurę zgłoszenia dopiero w poniedziałek?
Termin na zgłoszenie biegnie zarówno w dni robocze, jak i wolne od pracy. Zgodnie z art. 11 ust. 1 pkt 4) CyberBezpU, podmiot kluczowy lub ważny przekazuje wczesne ostrzeżenie w ciągu 24 godzin od momentu jego wykrycia. Bieg terminu należy wiązać z momentem wykrycia incydentu podlegającego obowiązkowi zgłoszenia, a nie z momentem zakończenia jego pełnej analizy. Samo wygenerowanie przez system bezpieczeństwa alertu nie musi jeszcze oznaczać wykrycia incydentu poważnego – może bowiem wymagać weryfikacji i kwalifikacji zdarzenia. Podmiot zobowiązany powinien zatem zaprojektować procedurę obsługi incydentu w taki sposób, aby przekazać wczesne ostrzeżenie w ciągu 24 godzin od momentu jego wykrycia (także w sobotę lub niedzielę).
Monit to nie zawsze incydent podlegający raportowaniu
Stosowane systemy wykrywania incydentów pozwalają na identyfikację zdarzeń o różnym charakterze. Czy każde takie wykrycie wymaga działań raportowych?
W piątek, o godz. 11:00 pracownicy działu cyberbezpieczeństwa odnotowali krótkotrwałą niedostępność systemu. Początkowo wszystko wskazuje na zwykłą awarię techniczną i zgodnie z procedurą obsługi incydentów zdarzenie nie zostało zakwalifikowane jako incydent wymagający zgłoszenia. Następnego dnia (sobota) koordynator ustalił, że przyczyną była ingerencja osoby nieuprawnionej, a skutki awarii z czasem objęły znacznie większą liczbę użytkowników. Od którego momentu należy liczyć termin na zgłoszenie: od pierwotnego wystąpienia awarii, jej wykrycia czy od chwili, gdy ustalono, że zdarzenie spełnia przesłanki incydentu istotnego?
Obowiązek przekazania wczesnego ostrzeżenia odnosi się do „incydentu poważnego”. Oznacza to, że obowiązek wczesnego ostrzeżenia powstaje w związku z wystąpieniem incydentu poważnego, a zatem konieczne jest ustalenie, czy zdarzenie spełnia przesłanki określone w definicji incydentu poważnego, zawarte w art. 2 pkt 7) CyberBezpU (np. incydent powoduje poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi przez podmiot kluczowy lub ważny). W podanej wyżej sytuacji, termin na przekazanie wczesnego ostrzeżenia biegnie od momenty wykrycia incydentu poważnego (lub inaczej, od momentu, w którym incydent zmienił się w incydent poważny).
Incydent trwa i nie jest znana jego skala
Analiza charakteru zdarzenia mającego potencjalnie cechy incydentu podlegającego raportowaniu może uniemożliwić jego definitywną ocenę do upływu ustawowo określonego terminu pierwszego zgłoszenia. Czy jest możliwe przekroczenie terminu i przekazanie zgłoszenia po potwierdzeniu jego statusu?
W czwartek, o godz. 8:00, organizacja wykrywała atak ransomware, który stopniowo rozciągał się na kolejne systemy. Termin zgłoszenia dobiegał końca, a atak i jego ocena nadal trwały. Nie były znane jeszcze pełne skutki zdarzenia. Czy organizacja powinna czekać z raportowaniem do czasu zakończenia analizy, czy przekazać zgłoszenie na podstawie informacji dostępnych w danym momencie?
Trwający incydent nie stanowi podstawy do wstrzymania biegu terminu na zgłoszenie. Trwanie incydentu nie oznacza automatycznie, że termin na dokonanie zgłoszenia ulega zawieszeniu. Jeżeli na danym etapie istnieją podstawy do uznania zdarzenia za incydent podlegający zgłoszeniu, podmiot powinien dochować właściwego terminu, przekazując informacje dostępne na moment zgłoszenia i uzupełniając je w miarę dokonywania dalszych ustaleń – zgodnie z zasadami określonymi w CyberBezpU.
Możliwe błędy w raportowaniu
Dopełnienie wymogów ustawowych wymaga przede wszystkim należytej staranności w ocenie zdarzenia i ustaleniu momentu rozpoczęcia biegu terminu. Nie jest dobrą praktyką czekanie do upływu terminów maksymalnych (bez uzasadnionej przyczyny). Oczekiwanie na pełną analizę incydentu skutkuje odłożeniem zgłoszenia i uniemożliwieniem podjęcia działań zapewniających bezpieczeństwo czy wdrożenie rekomendacji właściwych organów. Również brak procedury pozwalającej ustalić moment powstania obowiązków ustawowych powoduje nieprawidłowości w obsłudze incydentu. Procedura powinna także uwzględniać mechanizmy kwalifikacji incydentów.
W raportowaniu incydentów czas ma znaczenie, ale równie ważne jest prawidłowe ustalenie momentu, od którego ten czas należy liczyć. Dlatego skuteczna procedura obsługi incydentów powinna nie tylko wskazywać terminy ustawowe, lecz także określać sposób wykrywania, kwalifikowania i eskalowania zdarzeń oraz osoby odpowiedzialne za realizację poszczególnych obowiązków.
