Zarządzanie incydentami bezpieczeństwa w IT

Zarządzanie incydentami bezpieczeństwa informacji ma chronić poufność, integralność i dostępność danych, czyli triadę CIA. Ma też ograniczać wpływ zdarzeń na działalność organizacji¹. Jak rozpoznać incydent, ocenić jego wagę i zorganizować reakcję w IT? Ten poradnik prowadzi przez te decyzje.

Czym jest zarządzanie incydentami bezpieczeństwa w IT?

Zarządzanie incydentami bezpieczeństwa w IT określa, jak organizacja postępuje ze zdarzeniami zagrażającymi jej systemom lub danym. Jest częścią zarządzania bezpieczeństwem informacji. Wymaga ustalenia, kto podejmuje decyzje, jak zespół się komunikuje i gdzie zapisuje ustalenia. Załącznik A normy ISO/IEC 27001:2022 zawiera pięć zabezpieczeń od A.5.24 do A.5.28, dotyczących między innymi przygotowania, reakcji i gromadzenia dowodów².

Usunięcie widocznej usterki nie kończy obsługi incydentu. Zespół musi ocenić skutki dla informacji i działania systemów oraz zachować ślady potrzebne do późniejszego ustalenia przyczyny i zakresu zdarzenia³.

Jakie zdarzenia obejmuje zarządzanie incydentami bezpieczeństwa?

Zarządzanie incydentami bezpieczeństwa obejmuje między innymi phishing, czyli wyłudzanie danych przez podszywanie się pod zaufany podmiot, ransomware, które blokuje dostęp do danych, oraz ataki DDoS, w których przeciążenie utrudnia korzystanie z usługi.

Nazwa ataku nie określa, jakie systemy i informacje są zagrożone – trzeba to ustalić dla każdego zgłoszenia. Według raportu Verizon DBIR 2025 ransomware wystąpił w 44% przeanalizowanych naruszeń danych⁴.

Jakie narzędzia wspierają obsługę incydentów bezpieczeństwa?

Narzędzia do obsługi incydentów bezpieczeństwa służą do rejestrowania zgłoszeń, przypisywania odpowiedzialności i zachowywania historii działań. Service Desk przyjmuje i kieruje sprawy, a zgłoszenia dotyczące zagrożeń może przekazywać zespołowi bezpieczeństwa. Produkt erisk firmy PBSG wspiera obsługę od rejestracji zgłoszenia po aktualizację dokumentacji i raportowanie⁵.

NIST zaleca zapisywanie każdego działania, od wykrycia incydentu do jego rozwiązania, wraz z datą i godziną⁶.

Na czym polega proces obsługi incydentu bezpieczeństwa?

Proces obsługi incydentu bezpieczeństwa obejmuje 6 etapów: przygotowanie, wykrycie, ocenę, reakcję, przywrócenie działania i analizę poincydentalną¹. Przygotowanie zespołu następuje przed pojawieniem się podejrzanego zdarzenia, a uruchomienie systemu nie kończy pracy – zespół musi jeszcze przeanalizować przebieg incydentu. Ten podział rozwija ujęcie czterech faz NIST: przygotowania, wykrywania i analizy, ograniczania skutków i przywracania oraz działań poincydentalnych⁶.

Jakie są rodzaje procesów zarządzania incydentami?

Procesy zarządzania incydentami warto rozdzielić według rodzaju zdarzenia i wymaganej reakcji. Osobne ścieżki są potrzebne, gdy różnią się osoby decyzyjne, sposób komunikacji lub zasady ochrony danych. Art. 23 NIS2 przewiduje wczesne ostrzeżenie o poważnym incydencie bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin od powzięcia wiedzy⁷.

• Obsługa incydentu operacyjnego IT skupia się na przywróceniu usługi, która jest niedostępna lub działa wadliwie.
• Obsługa incydentu cyberbezpieczeństwa służy ograniczeniu zagrożenia dla systemów i zachowaniu śladów do analizy.
• Obsługa incydentu dotyczącego danych osobowych wymaga ustalenia zakresu naruszenia i przekazania ustaleń osobom odpowiedzialnym za ochronę danych.

Wybór ścieżki obsługi zależy od skutków zdarzenia: awaria usługi, zagrożenie systemów i naruszenie danych nie wymagają identycznych działań. EROD rozróżnia naruszenia poufności, integralności i dostępności danych osobowych; sama awaria usługi nie musi być takim naruszeniem⁸.

Jasny podział odpowiedzialności pomaga zespołowi zachować ciągłość działań od zgłoszenia do zakończenia sprawy, łącznie z późniejszą analizą. Według raportu IBM z 2024 r. średni globalny koszt naruszenia danych wyniósł 4,88 mln dolarów⁹.

Jak przebiega obsługa incydentu bezpieczeństwa od wykrycia do dokumentacji?

Obsługa incydentu bezpieczeństwa prowadzi od zauważenia podejrzanego zdarzenia do zapisania działań w rejestrze. Pracownik przekazuje obserwacje wyznaczonemu punktowi kontaktowemu. Zespół bezpieczeństwa ustala zakres zdarzenia i kieruje sprawę do odpowiednich specjalistów³.

Ścieżka zgłoszenia powinna wskazywać odbiorcę informacji i sposób przekazania sprawy poza organizację, jeśli wymaga tego procedura. Dokumentacja incydentu łączy zgłoszenie, ustalenia analityków i wykonane działania w jednej sprawie. Art. 33 RODO przewiduje zgłoszenie naruszenia organowi nadzorczemu, w miarę możliwości do 72 godzin od jego stwierdzenia. Wyjątkiem jest sytuacja, w której ryzyko jest mało prawdopodobne¹⁰.

Jak wykryć i zgłosić incydent bezpieczeństwa?

Wykrycie incydentu bezpieczeństwa może zacząć się od nietypowego zachowania systemu, komunikatu lub działania na koncie. Obserwację należy przekazać wyznaczonemu punktowi kontaktowemu. Pracownik nie musi sam potwierdzać ataku, żeby zgłosić podejrzenie. Według Verizon DBIR 2024 czynnik ludzki wystąpił w 68% naruszeń danych, co pokazuje znaczenie zgłoszeń pracowników¹¹.

• Pracownik zapisuje, co zauważył i którego systemu dotyczy zdarzenie. Zachowuje komunikat lub inne dostępne ślady bez ich zmieniania.
• Zgłoszenie incydentu trafia do punktu kontaktowego wskazanego w organizacji, na przykład Service Desku albo zespołu bezpieczeństwa. Procedura Świętokrzyskiego Urzędu Wojewódzkiego wymaga danych zgłaszającego, miejsca i daty wystąpienia incydentu oraz opisu zdarzenia¹².
• Odbiorca zgłoszenia przekazuje sprawę osobie oceniającej zagrożenie. Zapisuje też, co zgłaszający zdążył już zrobić.

Zgłoszenie pracownika daje zespołowi podstawę do analizy. Nie trzeba czekać, aż osoba zgłaszająca samodzielnie postawi diagnozę. Verizon DBIR 2024 podaje, że mediana czasu od otwarcia wiadomości phishingowej do kliknięcia złośliwego linku wynosiła 21 sekund¹¹.

Jak zidentyfikować, zarejestrować i skategoryzować incydent?

Identyfikacja incydentu służy ustaleniu, co się stało, jakich zasobów dotyczy zdarzenie i czy zagrożenie nadal trwa. Zespół zestawia relację zgłaszającego z zapisami systemowymi. Potem określa kategorię potrzebną do skierowania sprawy. NIST odróżnia dwa rodzaje sygnałów: zwiastuny możliwego przyszłego incydentu oraz wskaźniki zdarzenia, które mogło już wystąpić lub nadal trwa⁶.

• Weryfikacja zgłoszenia pozwala powiązać obserwację pracownika z określonym systemem, kontem lub usługą.
• Kategoryzacja incydentu nazywa charakter zagrożenia i pomaga wskazać specjalistów do dalszej obsługi.
• Rejestracja incydentu tworzy zapis sprawy. W Urzędzie Gminy Purda każdy zgłoszony incydent bezpieczeństwa informacji i cyberbezpieczeństwa musi trafić do rejestru incydentów³.

Tabela pokazuje, jakie informacje pomagają identyfikować incydent i śledzić jego obsługę w rejestrze.

Rejestr incydentu może zawierać wszystkie informacje z tabeli¹³. Kategoria pomaga przekazać sprawę właściwemu zespołowi, a zapis utrzymuje ciągłość dokumentacji. Art. 33 ust. 5 RODO zobowiązuje administratora do dokumentowania wszystkich naruszeń danych osobowych, wraz z okolicznościami, skutkami i działaniami zaradczymi¹⁰.

Kto uczestniczy w obsłudze incydentu i kiedy eskalować zgłoszenie?

Obsługą incydentu zajmują się punkt przyjmowania zgłoszeń, analitycy bezpieczeństwa i osoby odpowiedzialne za zgłoszenia zewnętrzne. Sprawę trzeba eskalować, gdy wymaga głębszej analizy lub przekazania zespołowi reagowania. SOC monitoruje zagrożenia i analizuje sygnały, a CSIRT reaguje na incydenty bezpieczeństwa komputerowego. NIS2 przewiduje sprawozdanie końcowe do miesiąca od zgłoszenia poważnego incydentu. Jeśli zdarzenie nadal trwa, należy przekazać sprawozdanie z postępu⁷.

Model wsparcia Trecom rozdziela zadania między poziomy: L1 wykrywa i wstępnie klasyfikuje, L2 prowadzi pogłębioną analizę i neutralizuje zagrożenia, a L3 obsługuje najtrudniejsze przypadki oraz analizę śledczą¹. Analiza śledcza polega na zabezpieczaniu i badaniu dowodów cyfrowych, by odtworzyć atak i określić skalę naruszenia¹. Trecom korzysta również z nieformalnej linii L4, która stanowi zaplecze technologiczne zespołów SOC¹. Dostęp do ekspertów wspierających SOC obejmuje ponad 115 inżynierów¹.

Eskalacja zewnętrzna zależy od rodzaju organizacji i zdarzenia. Operator usługi kluczowej zgłasza incydent do właściwego CSIRT w ciągu maksymalnie 24 godzin od wykrycia⁵. Gmina Purda przekazuje do CSIRT NASK zgłoszenie incydentu mogącego przerwać realizację zadania publicznego w ciągu maksymalnie 24 godzin od wykrycia zdarzenia³. Pełnomocnik ds. cyberbezpieczeństwa Gminy Purda koordynuje obsługę, przygotowuje zgłoszenia do CSIRT NASK i prowadzi działania naprawcze³.

Eskalacja incydentu powinna odpowiadać zakresowi potrzebnej analizy. Musi też uwzględniać obowiązek przekazania zgłoszenia właściwemu zespołowi¹.

Jak ocenić wagę incydentu bezpieczeństwa i skuteczność reakcji?

Ocena incydentu bezpieczeństwa zaczyna się od ustalenia skutków dla organizacji. Dopiero na tej podstawie zespół nadaje zgłoszeniu priorytet. Oddziela sygnał wymagający sprawdzenia od potwierdzonego zagrożenia i zapisuje powody decyzji. Nie każda anomalia jest incydentem; o klasyfikacji decydują ryzyko i możliwe skutki¹. NIST wskazuje trzy czynniki priorytetyzacji: wpływ na działalność organizacji, wpływ na informacje i wysiłek potrzebny do przywrócenia działania⁶.

Co jest incydentem bezpieczeństwa, a co nim nie jest?

O uznaniu zdarzenia za incydent rozstrzyga zagrożenie dla informacji, systemów lub działalności organizacji. Nietypowy sygnał jest początkiem sprawdzenia, a nie gotową diagnozą. Zespół potrzebuje wyniku weryfikacji i oceny skutków.

• Zdarzenie bezpieczeństwa jest sygnałem do sprawdzenia, na przykład nietypową aktywnością konta.
• Fałszywy alarm jest sygnałem, przy którym analiza nie potwierdziła zagrożenia. Zespół zapisuje, dlaczego odrzucił zgłoszenie.
• Potwierdzony incydent bezpieczeństwa wymaga ograniczenia skutków rozpoznanego zagrożenia. Zespół dokumentuje ustalenia i swoją reakcję¹⁴.

Wynik weryfikacji rozstrzyga o rozpoczęciu obsługi incydentu. Sam alert nie wystarcza.

Jak klasyfikować incydenty bezpieczeństwa?

Klasyfikacja incydentów przypisuje zdarzeniom kategorie odpowiadające ich skutkom. Dzięki temu sprawa trafia do właściwej osoby. Klasyfikacja może obejmować wpływ na poufność, integralność i dostępność danych oraz poziom ryzyka¹.

• Zakres zdarzenia ustal przez wskazanie dotkniętych danych, kont, urządzeń i usług¹⁵.
• Skutek dla informacji opisz jako możliwe ujawnienie, nieuprawnioną zmianę lub utratę dostępu do danych.
• Naruszenie ochrony danych osobowych zaznacz, gdy ustalenia wskazują, że zdarzenie dotyczy takich danych. Przekaż wtedy sprawę osobom odpowiedzialnym za ich ochronę.
• Poziom ryzyka określ na podstawie możliwych skutków dla organizacji. Aktualizuj go, gdy pojawią się nowe ustalenia.

Kategoria incydentu mówi, z jakim zagrożeniem zespół ma do czynienia. Priorytet określa, jak pilna jest reakcja.

Jak ustalić wagę i priorytet incydentu bezpieczeństwa?

Waga incydentu opisuje skalę skutków, a priorytet – kolejność i pilność obsługi. Zespół powinien oceniać je osobno. Nowe ustalenia mogą bowiem zmienić obraz zdarzenia z pierwszego zgłoszenia.

• Ciągłość działania oceń, ustalając, które procesy organizacji zostały przerwane lub są zagrożone.
• Krytyczność systemu określ według roli dotkniętej usługi w codziennej pracy organizacji.
• Rozmiar szkód oszacuj na podstawie znanych skutków. Zaznacz też, co wymaga dalszego sprawdzenia.
• Czas przywrócenia działania oszacuj, by określić, jak długo organizacja może odczuwać skutki zdarzenia.

Świętokrzyski Urząd Wojewódzki ocenia istotność incydentu między innymi przez wpływ na ciągłość działania i krytyczność systemów. Bierze też pod uwagę rozmiar szkód oraz szacowany czas przywrócenia działania¹². Priorytet zgłoszenia trzeba podnieść, jeśli analiza wykaże większy wpływ niż początkowo zakładano.

Jakimi wskaźnikami mierzyć skuteczność obsługi incydentów?

Skuteczność obsługi incydentów można mierzyć czasem do przyjęcia zgłoszenia, rozpoczęcia reakcji i przywrócenia działania. Każdy pomiar wymaga zapisu początku i końca danego etapu. Przyjęcie zgłoszenia nie jest równoznaczne z rozwiązaniem sprawy. SLA określa uzgodnione wymagania dotyczące poziomu obsługi.

Tabela porównuje czas przyjęcia zgłoszenia od chwili jego otrzymania w modelach wsparcia PwC.

Dane w tabeli: 16

Pomiar reakcji powinien oddzielać przyjęcie zgłoszenia od usunięcia zagrożenia. Przywrócenie usługi to kolejny, odrębny moment.

Co utrudnia zarządzanie incydentami bezpieczeństwa i jak usprawnić działania?

Zarządzanie incydentami bezpieczeństwa utrudniają niejasna odpowiedzialność, nieprzygotowane odtwarzanie usług i brak zasad komunikacji. Obsługa przebiega sprawniej, gdy organizacja wskazuje właściciela decyzji, chroni kopie zapasowe i ustala sposób przekazywania informacji. Każdy z tych obszarów potrzebuje osoby odpowiedzialnej i zapisanej procedury działania.

Jakie trudności opóźniają obsługę incydentów bezpieczeństwa i jakie są ich skutki?

Trudności opóźniające obsługę incydentów bezpieczeństwa to luki organizacyjne. W czasie incydentu zespół musi wtedy dopiero ustalać, kto podejmuje decyzje i jak przywrócić usługi. W analizowanych jednostkach samorządu terytorialnego powtarzały się braki planów ciągłości działania i niedostateczna ochrona kopii zapasowych. Wskazano też brak koordynatora kryzysowego oraz procedur komunikacji¹⁷. W przywołanym raporcie CERT Polska za 2024 r. odnotowano 1911 incydentów w administracji publicznej¹⁷.

• Plan ciągłości działania powinien określać kolejność odtwarzania usług. Bez niej zespół musi podjąć tę decyzję podczas zakłócenia.
• Ochrona kopii zapasowych powinna utrudniać ich usunięcie lub zmianę podczas ataku. Utrata użytecznej kopii komplikuje odtworzenie danych¹⁸.
• Koordynator kryzysowy powinien zbierać decyzje zespołów technicznych i kierownictwa. Bez takiej roli równoległe działania mogą być niespójne.
• Procedura komunikacji powinna wskazywać odbiorców komunikatów i osobę zatwierdzającą ich treść. Sprzeczne informacje utrudniają pracownikom ocenę sytuacji.

Czym różni się obsługa incydentu bezpieczeństwa od obsługi zwykłego incydentu IT?

Tabela pokazuje, jak rodzaj incydentu wpływa na cel obsługi i ścieżkę zgłoszenia.

Dane w tabeli: 1

Przy podejrzeniu ataku pochopny restart systemu lub usunięcie plików może utrudnić analizę. Właściwa ścieżka zgłoszenia pozwala dobrać działania do zagrożenia. Nie każdą sprawę należy więc traktować jak zwykłą awarię.

Jak przygotować zespół do reagowania na incydenty bezpieczeństwa?

Zespół reagowania na incydenty bezpieczeństwa potrzebuje ustalonych ról, zapisanej ścieżki zgłoszeń i przećwiczonych decyzji. Plan reagowania na incydenty powinien wyjaśniać pracownikom, jak zgłaszać zdarzenia. Musi też wskazywać osoby odpowiedzialne za ich obsługę⁵.

• Właściciel planu reagowania przypisuje odpowiedzialność za przyjmowanie zgłoszeń, analizę techniczną, decyzje naprawcze i komunikację.
• Pracownicy ćwiczą rozpoznawanie podejrzanych komunikatów i zgłaszanie obserwacji. Instrukcja powinna wskazywać kanał zgłoszenia oraz sposób zachowania dostępnych śladów.
• Zespół techniczny ćwiczy przekazywanie sprawy między osobami prowadzącymi analizę, ograniczanie zagrożenia i przywracanie działania.
• Osoby odpowiedzialne za komunikację przygotowują zasady informowania pracowników i kierownictwa o zakłóceniach oraz podjętych działaniach.
• Wójt Gminy Purda przekazuje do CSIRT NASK dane wyznaczonego pełnomocnika ds. cyberbezpieczeństwa oraz zmiany tych danych w terminie 14 dni³.

Zakres wsparcia zewnętrznego zależy od tego, czy organizacja potrzebuje stałej gotowości, czy pomocy przy konkretnym zdarzeniu. PwC oferuje obsługę incydentów w ramach umowy ramowej. Dostępne jest również doraźne wsparcie przy pojedynczych incydentach¹⁶.

Tabela porównuje godziny dostępności standardowego i rozszerzonego modelu wsparcia PwC.

Dane w tabeli: 16

Ćwiczenia procedur zarządzania incydentami w ofercie PwC odbywają się 1 raz na kwartał¹⁶. Warto podczas nich sprawdzić, czy uczestnicy znają swoje zadania. Zespół powinien też przećwiczyć przekazanie zgłoszenia właściwej osobie.

Przygotowany zespół zna podział ról i sposób współpracy. Pracownicy wiedzą, gdzie zgłaszać podejrzane zdarzenia.

Etapy zarządzania incydentami bezpieczeństwa według ISO/IEC 27035

ISO/IEC 27035 porządkuje zarządzanie incydentami od przygotowania organizacji po ocenę działań. Norma składa się z 4 opublikowanych części, w tym ISO/IEC 27035-4:2024¹⁹. W codziennej obsłudze decyzjom technicznym powinien towarzyszyć zapis ustaleń. Zespół dokumentuje nie tylko wynik, lecz także sposób, w jaki do niego doszedł²⁰.

• Planowanie ustala role, punkt kontaktowy i zasady przekazywania zgłoszeń.
• Wykrycie i gromadzenie informacji o incydencie łączy sygnał o zdarzeniu z zapisami potrzebnymi do analizy.
• Ocena i selekcja informacji oddziela ustalenia ważne dla reakcji od sygnałów niezwiązanych ze zdarzeniem.
• Powstrzymanie skutków ogranicza rozprzestrzenianie się zagrożenia, na przykład przez odizolowanie zainfekowanych systemów. Eliminacja wymaga usunięcia pierwotnej przyczyny zagrożenia¹.
• Przywracanie obejmuje odtworzenie danych z kopii zapasowych, rekonfigurację systemów i sprawdzenie ich integralności¹.
• Raportowanie i przegląd po incydencie utrwalają przebieg obsługi oraz wnioski potrzebne do zmiany procedur.

Dokumentacja reakcji powinna powstawać na bieżąco, nie dopiero po przywróceniu systemów. ISO/IEC 27035 zaleca śledzenie zdarzeń w dedykowanym systemie. Wskazuje też rejestrowanie działań zespołu reagowania i zabezpieczanie dowodów¹⁹.

Jak nadać incydentowi priorytet?

Priorytet incydentu należy nadać po wstępnej ocenie i zmieniać, gdy pojawią się nowe ustalenia. W podejściu opisanym dla ISO/IEC 27035 punkt kontaktowy ocenia zdarzenie na początku. Zespół reagowania ponownie sprawdza klasyfikację i ustala kolejność działań¹⁹.

• Punkt kontaktowy przekazuje zespołowi reagowania opis zdarzenia i znane skutki, by umożliwić ocenę pilności.
• Zespół reagowania porównuje zgłoszenie z ustaleniami technicznymi. Zapisuje powód utrzymania lub zmiany priorytetu.
• Osoba prowadząca sprawę aktualizuje priorytet w rejestrze, gdy zmienia się zakres zagrożenia.

Kiedy i jak zamknąć incydent?

Incydent można zamknąć po potwierdzeniu usunięcia zagrożenia, sprawdzeniu usług i zapisaniu wyniku obsługi. Raport powinien opisywać przebieg zdarzenia oraz podjęte decyzje. Musi też wskazywać stan systemów po przywróceniu i prace pozostające poza zamkniętym zgłoszeniem.

Przegląd poincydentalny służy ustaleniu zmian w zabezpieczeniach i procedurach. Nie powinien ograniczać się do potwierdzenia końca prac technicznych. Przegląd w usłudze PwC obejmuje analizę przyczyn zdarzenia oraz ocenę reakcji organizacji z perspektywy technicznej i biznesowej¹⁶.

Które incydenty może rozwiązać wsparcie pierwszego poziomu?

Wsparcie pierwszego poziomu może zamknąć zgłoszenie, jeśli zatwierdzona procedura pozwala wykluczyć zagrożenie. Może też bezpiecznie usunąć problem mieszczący się w jego uprawnieniach. Taką sprawą bywa fałszywy alarm wyjaśniony na podstawie dostępnych zapisów. Podejrzenie naruszenia danych lub trwającego ataku wymaga przekazania sprawy zespołowi bezpieczeństwa. To samo dotyczy potrzeby zabezpieczenia dowodów.

Granica odpowiedzialności pierwszego poziomu powinna wynikać z procedury i ustaleń. Chęć szybkiego zamknięcia zgłoszenia nie jest podstawą decyzji.

Zarządzanie ryzykiem związanym z incydentami bezpieczeństwa

Zarządzanie ryzykiem związanym z incydentami bezpieczeństwa zaczyna się przed wystąpieniem zdarzenia. Organizacja rozpoznaje zagrożenia i ocenia, które wymagają zabezpieczeń. System Zarządzania Bezpieczeństwem Informacji (SZBI) łączy tę ocenę z decyzjami o ochronie danych i systemów. Obsługa incydentu dotyczy konkretnego zdarzenia; ocena ryzyka obejmuje również zagrożenia, które jeszcze się nie urzeczywistniły.

Ocena ryzyka powinna wskazywać zagrożony zasób, możliwy sposób naruszenia i skutki dla organizacji. Może uwzględniać 3 wymiary triady CIA: poufność, integralność i dostępność. Osoba odpowiedzialna za zasób ustala, czy zabezpieczenia ograniczają ryzyko do akceptowanego poziomu. Ryzyko rezydualne pozostaje po zastosowaniu zabezpieczeń, a jego akceptacja wymaga świadomej decyzji właściciela ryzyka.

Ustalenia po incydencie powinny trafić do oceny ryzyka, jeśli ujawniły nową drogę ataku lub nieskuteczne zabezpieczenie. Organizacja przypisuje działanie naprawcze właścicielowi. Potem sprawdza, czy zmiana rzeczywiście ograniczyła rozpoznane zagrożenie. Zamknięcie zgłoszenia nie zastępuje tego sprawdzenia.

Połączenie obsługi incydentów z oceną ryzyka przekłada wiedzę o zdarzeniach na decyzje o zabezpieczeniach. Ustalenia ze sprawy muszą więc znaleźć zastosowanie także po jej zamknięciu.

Najczęściej zadawane pytania

Czy każda awaria usługi oznacza naruszenie danych osobowych?

Nie. Sama awaria usługi nie musi oznaczać naruszenia danych osobowych — trzeba ustalić, czy zdarzenie wpłynęło na ich poufność, integralność lub dostępność.

Kiedy przekazać sprawę osobom odpowiedzialnym za ochronę danych?

Gdy ustalenia wskazują, że zdarzenie dotyczy danych osobowych, należy przekazać im sprawę i ustalony zakres naruszenia.

Co zrobić, gdy analiza nie potwierdzi zagrożenia?

Można uznać zgłoszenie za fałszywy alarm, ale należy zapisać, dlaczego analiza nie potwierdziła zagrożenia.