Polityka zarządzania incydentami bezpieczeństwa informacji – kiedy należy wdrożyć w spółce politykę zarządzania incydentami?

We wszystkich przypadkach, kiedy przedsiębiorcę można zakwalifikować jako operatora usługi kluczowej niezbędne będzie wdrożenie odpowiedniej polityki wewnętrznej oraz wyposażenie się we właściwe zasoby. Zgodnie z art. 8 ustawy o krajowym systemie cyberbezpieczeństwa operator usługi kluczowej wdraża system zarządzania bezpieczeństwem w systemie informacyjnym wykorzystywanym do świadczenia usługi kluczowej. System ten musi gwarantować:

• prowadzenie systematycznego szacowania ryzyka wystąpienia incydentu bezpieczeństwa informacji oraz zarządzania tym ryzykiem;
• wdrożenie odpowiednich i proporcjonalnych do oszacowania ryzyka środków technicznych i organizacyjnych, uwzględniający najnowszy stan wiedzy, w tym:
• utrzymanie i bezpieczną eksploatację systemu informacyjnego;
• bezpieczeństwo fizyczne i środowiskowe uwzględniające kontrolę dostępu;
• bezpieczeństwo i ciągłość dostaw usług, od których zależy świadczenie usługi kluczowej;
• wdrażanie, dokumentowanie i utrzymywanie planów działania umożliwiające ciągłe i niezakłócone świadczenie usługi kluczowej oraz zapewniających poufność, integralność, dostępność i autentyczność informacji;
• objęcie systemu informacyjnego monitorowaniem w trybie ciągłym (tzw. threat hunting);
• zbieranie informacji o zagrożeniach cyberbezpieczeństwa i podatnościach na incydenty bezpieczeństwa informacji oraz zarządzanie tymi incydentami;
• stosowanie środków zapobiegających i ograniczających wpływ incydentów bezpieczeństwa informacji na bezpieczeństwo systemu informacyjnego;
• stosowanie środków łączności umożliwiających prawidłową i bezpieczną komunikację w ramach krajowego systemu cyberbezpieczeństwa.

Wymagania względem systemu wykorzystywanego do świadczenia usług kluczowych są bardzo surowe, a co więcej nakładają na przedsiębiorcę obowiązek nieustannej aktualizacji zabezpieczeń oraz stosowania rozwiązań uwzględniających ewolucję zagrożeń cyfrowych. Dla firm oznacza to nie tylko wysokie koszty związane z wdrażaniem rozwiązań technicznych i szkoleniem personelu, ale także dbanie o sprawne działania sektora compliance, którego zadaniem jest zapewnienie zgodności obowiązujących procedur z aktualnymi wymaganiami.

System powinien być audytowany nie rzadziej niż raz na 2 lata przez jednostkę akredytowaną, co najmniej 2 certyfikowanych audytorów lub sektorowy zespół cyberbezpieczeństwa. Audyt można wykorzystać również jako okazję do aktualizacji polityki zarządzania incydentami bezpieczeństwa informacji oraz późniejszej poprawy obsługi incydentów.

W jaki sposób w takim razie przedsiębiorca może zadbać o aktualizację polityki zarządzania incydentami bezpieczeństwa informacji? Ustawodawca wymienia jedynie kilka przykładowych działań, choć warto pamiętać, że nie jest to lista wyczerpująca:

• stosowanie mechanizmów zapewniających poufność, integralność, dostępność i autentyczność danych;
• aktualizacja oprogramowania;
• ochrona przed nieuprawnioną modyfikacją danych w systemie;
• niezwłoczne podejmowanie działań po dostrzeżeniu podatności lub zagrożeń cyberbezpieczeństwa.

Warto pamiętać, że poza systemem każdy operator usługi kluczowej musi opracować i aktualizować dokumentację dotyczącą cyberbezpieczeństwa, wyznaczyć dla niej nadzór oraz przechowywać minimum 2 lata po wycofaniu z użytkowania.

Czym jest incydent bezpieczeństwa informacji?

Ustawa o krajowym systemie cyberbezpieczeństwa w art. 2 pkt 5 definiuje incydent bezpieczeństwa informacji jako zdarzenie, która ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo. Ustawodawca rozróżnił kilka rodzajów incydentów, w tym:

• krytyczne – skutkujące znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw lub wolności obywatelskich lub życia i zdrowia ludzi;
• poważne – powodujące lub mogące spowodować poważne obniżenie jakości lub przerwanie ciągłości świadczenia usługi kluczowej;
• istotne – mające istotny wpływ na świadczenie usługi cyfrowej.

W praktyce incydenty bezpieczeństwa informacji na płaszczyźnie informatycznej mogą przybrać jedną z wielu postaci. Można do nich zaliczyć np. udostępnianie hasło i loginu do konta osobie niepowołanej lub kradzież danych zrealizowaną zarówno przez pracownika, jak i osobę trzecią. Incydentem bezpieczeństwa informacji są też wszelkiego rodzaju próby wtargnięcia do systemu, przełamania zabezpieczeń lub przejęcia kontroli albo zniszczenia, lub zmodyfikowania przechowywanych zasobów poprzez takie techniki, jak implementacja oprogramowania typu malware, zastosowanie szantażu poprzez cryptolocker albo bardziej klasyczne metody, w tym DoS lub DDoS.

Należy pamiętać, że techniki stosowane przez hakerów stale ewoluują, dlatego na przedsiębiorcach ciąży obowiązek aktualizacji zabezpieczeń tak, aby chroniły przed jak największą ilością zagrożeń. Wymaga to nie tylko zakupu nowoczesnych platform usługowych i technologii, ale również nieustannych testów, które pozwolą wykryć ewentualne braki i luki w systemie.

Ustawa o krajowym systemie cyberbezpieczeństwa to nie jedyny akt prawny, który reguluje kwestię incydentów cyfrowych. Warto zwrócić uwagę na art. 32g ustawy o usługach płatniczych, która nakłada na podmioty świadczące usługi płatnicze (m.in. Małe Instytucje Płatnicze (MIP) oraz Krajową Instytucją Płatniczą (KIP) obowiązek przekazania informacji o poważnym incydencie operacyjnym lub incydencie związanym z bezpieczeństwem (w tym teleinformatycznym). Zgłoszenie powinno zostać przekazane do KNF lub innego właściwego organu nadzoru. Dodatkowo w sytuacji, kiedy incydent może mieć wpływ na sytuację użytkowników, dostawca usług powinien powiadomić również ich, wskazując jednocześnie środki, z których mogą skorzystać w celu ograniczenia skutków incydentu.

Obowiązek zgłaszania incydentów bezpieczeństwa informacji w zakresie naruszenia danych osobowych przewiduje również rozporządzenie RODO. Stosownie do art. 33 w przypadku naruszenia ochrony danych administrator bez zbędnej zwłoki (w miarę możliwości w czasie do 72 godzin od stwierdzenia naruszenia) zgłasza je organowi nadzorczemu. Zgłoszenie może być dokonane przez skrzynkę ESP, poprzez wypełnienie formularza lub tradycyjną pocztą. Należy zadbać o udokumentowania procesu oceny ryzyka na potrzeby zgłoszenia lub jego zaniechania.

Zaniechanie obowiązku zgłoszenia incydentu bezpieczeństwa informacji na gruncie RODO podlega wysokiej karze pieniężnej. W praktyce decyzje GIODO opiewają nawet na kilkaset tysięcy złotych (ponad 545 tysięcy złotych kary dla Santander Banku czy ponad 360 tysięcy kary dla Banku Millennium).