Wspólny zespół cyberbezpieczeństwa może szybciej rozpoznać atak obejmujący kilka samorządów i skoordynować działania techniczne. Skuteczność takiej współpracy zależy jednak od tego, czy każdy uczestnik wie, komu przekazać informację, kto podejmuje decyzję o ograniczeniu działania systemu i kto dokonuje zgłoszenia do właściwego zespołu reagowania. Wspólna infrastruktura obsługi nie oznacza, że wszystkie jednostki mają identyczne obowiązki sprawozdawcze.

Podstawę dalszych rozważań stanowi ustawa o krajowym systemie cyberbezpieczeństwa. Opisany model dotyczy podmiotów publicznych objętych odpowiednimi obowiązkami wynikającymi z ustawy oraz współpracy z jednostką wyznaczoną na podstawie art. 16e ustawy o krajowym systemie cyberbezpieczeństwa (dalej: CyberbezpU). Sama nazwa „Lokalne Centrum Cyberbezpieczeństwa” ani zakup usługi monitorowania nie przesądzają o zastosowaniu tego mechanizmu.

Status jednostki i moment rozpoczęcia realizacji obowiązków

Przygotowanie procedury należy rozpocząć od ustalenia statusu każdego obsługiwanego podmiotu – kluczowego albo ważnego – a także zakresu usług i systemów objętych CyberbezpU. Zgodnie z art. 2a CyberbezpU w odniesieniu do podmiotu publicznego usługą jest również zadanie publiczne. Analiza skutków ataku powinna więc obejmować możliwość wykonywania zadań na rzecz mieszkańców, a nie tylko dostępność serwera lub strony internetowej.

Należy uwzględnić okresy dostosowawcze. Art. 33 ust. 1 nowelizacji CyberbezpU przewiduje dla podmiotów spełniających przesłanki w dniu jej wejścia w życie 12 miesięcy na realizację obowiązków określonych w rozdziale 3 CyberbezpU. Dla dotychczasowych operatorów usług kluczowych art. 33 ust. 4 nowelizacji CyberbezpU ustanawia odrębny, sześciomiesięczny termin dotyczący zgłaszania incydentów poważnych. Nie można zatem przyjąć jednej daty rozpoczęcia raportowania dla wszystkich uczestników współpracy.

W odniesieniu do podmiotów, które spełnią przesłanki w późniejszym terminie, znaczenie ma art. 16 CyberbezpU, a w przypadkach objętych decyzjami – również przepisy szczególne. Poniższe terminy raportowania przedstawiają model wykonywania obowiązków po rozpoczęciu ich realizacji. Okres dostosowawczy powinien służyć przygotowaniu i sprawdzeniu tego modelu.

Od wykrycia zdarzenia do wspólnej analizy

Art. 16f pkt 1 CyberbezpU zobowiązuje obsługiwany podmiot publiczny do współpracy poprzez przekazywanie informacji o incydentach. Z kolei art. 16g CyberbezpU pozwala kierownikowi jednostki wyznaczonej wskazać terminy przekazania tych informacji w celu prawidłowego wykonania obowiązków wynikających z art. 11 i art. 12 CyberbezpU. Wewnętrzny termin powinien pozostawiać czas na analizę i przygotowanie zgłoszenia. Nie stanowi on dodatkowego okresu poprzedzającego rozpoczęcie biegu terminu ustawowego.

Pracownik urzędu powinien zgłaszać podejrzenie wystąpienia zdarzenia bez oczekiwania na ostateczną ocenę techniczną. Wspólny zespół ustala następnie zakres naruszenia, dotknięte nim systemy i skutki dla usług. Definicję incydentu zawiera art. 2 pkt 5 CyberbezpU, natomiast kryteria incydentu poważnego wynikają z art. 2 pkt 7 CyberbezpU. Nie każde zablokowanie podejrzanej wiadomości jest incydentem poważnym, jednak brak potwierdzonej utraty danych nie przesądza o braku podstaw do takiej kwalifikacji.

Zaleca się prowadzenie rejestru obejmującego czas wykrycia zdarzenia, przekazania informacji, podjęcia decyzji i wysłania zgłoszenia. Należy odróżniać fakty potwierdzone od hipotez oraz wskazywać źródło ustaleń. Przekazanie sprawy z urzędu do centrum nie powinno być traktowane jako ponowne wykrycie tego samego incydentu ani jako sposób na przesunięcie terminu zgłoszenia.

Terminy raportowania zależą od statusu podmiotu

W podstawowym modelu art. 11 ust. 1 pkt 4–4c CyberbezpU przewiduje następującą sekwencję:

Jeżeli obsługa incydentu nadal trwa, zastosowanie ma art. 12b CyberbezpU: zamiast sprawozdania końcowego przekazuje się sprawozdanie z postępu obsługi, a sprawozdanie końcowe składa się nie później niż w ciągu miesiąca od zakończenia obsługi incydentu. Miesiąca nie należy w procedurze zastępować określeniem „30 dni”. Zakres sprawozdania końcowego określa art. 12a CyberbezpU.

Istotny wyjątek ustanawia art. 12c CyberbezpU. Podmiot ważny będący podmiotem publicznym jest zwolniony z przekazywania wczesnego ostrzeżenia, sprawozdania okresowego, sprawozdania z postępu obsługi i sprawozdania końcowego. Pozostaje obowiązek zgłoszenia incydentu poważnego w terminie 72 godzin oraz pozostałe mające zastosowanie obowiązki w zakresie obsługi incydentów i współpracy. Wyjątku nie można automatycznie rozszerzać na każdą spółkę komunalną wyłącznie ze względu na jej właściciela.

Zgodnie z art. 16h pkt 1 CyberbezpU jednostka wyznaczona dokonuje wskazanych zgłoszeń w imieniu podmiotu publicznego. Przepis należy odczytywać łącznie z art. 12c CyberbezpU: wspólna obsługa nie tworzy obowiązku składania sprawozdań, z których dany podmiot jest ustawowo zwolniony. Art. 12 ust. 5 CyberbezpU pozwala przekazać informacje znane w chwili zgłoszenia i uzupełniać je w trakcie obsługi incydentu. Oczekiwanie na pełny raport dostawcy nie uzasadnia przekroczenia terminu.

Właściwy CSIRT i kanał zastępczy

Procedura musi wskazywać właściwy zespół reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) oraz sposób aktualizowania tej informacji. Art. 16h CyberbezpU przewiduje raportowanie przez jednostkę wyznaczoną do CSIRT sektorowego oraz korzystanie z systemu teleinformatycznego, o którym mowa w art. 46 ust. 1 CyberbezpU. Należy jednak uwzględnić przejściowe zasady właściwości.

Na podstawie art. 44 ust. 1–2 nowelizacji CyberbezpU, do czasu opublikowania komunikatu o osiągnięciu przez właściwy CSIRT sektorowy zdolności operacyjnej, zgłoszenia kieruje się do właściwego CSIRT MON, CSIRT NASK albo CSIRT GOV. Raportowanie do CSIRT sektorowego rozpoczyna się od dnia następującego po dniu publikacji komunikatu. Art. 44 ust. 3 nowelizacji CyberbezpU wyłącza ten mechanizm przejściowy dla sektorów, w których sektorowy zespół powołano przed 2025 r. Wybór odbiorcy wymaga zatem sprawdzenia sektora i właściwego komunikatu.

Wspólny zespół powinien mieć przygotowany również alternatywny sposób kontaktu na wypadek niedostępności podstawowego kanału komunikacji. Art. 31 CyberbezpU reguluje określanie i publikowanie przez CSIRT sposobu komunikacji na potrzeby takiej sytuacji. Przechowywanie jedynej kopii danych kontaktowych w systemie dotkniętym awarią utrudnia wykonanie obowiązków właśnie wtedy, gdy jest to najpilniejsze.

Decyzje lokalne i wsparcie instytucji państwowych

Wspólny zespół analizuje zdarzenie i rekomenduje działania, ale procedura musi określać również uprawnienia do ich wykonania. Dotyczy to zwłaszcza odłączenia systemu, zablokowania kont, uruchomienia pracy zastępczej i przywrócenia usługi. Warto wcześniej ustalić zakres działań natychmiastowych oraz sposób uzyskania decyzji w przypadku niedostępności kierownika.

Podział zadań należy powiązać z art. 16f pkt 2 CyberbezpU, dotyczącym wykonywania decyzji kierownika jednostki wyznaczonej w zakresie systemu zarządzania bezpieczeństwem informacji, a także z art. 8c i art. 8d CyberbezpU, regulującymi odpowiedzialność i zadania kierownika. Powierzenie czynności innym osobom nie może być utożsamiane z automatycznym wyłączeniem odpowiedzialności kierownika. Art. 8c ust. 3 CyberbezpU obejmuje również sytuację powierzenia określonych obowiązków innej osobie za jej zgodą.

Zgłoszenie do CSIRT nie oznacza przejęcia przez ten zespół zarządzania urzędem. Art. 26 ust. 2 CyberbezpU przewiduje możliwość uzyskania wsparcia na wniosek w przypadkach wskazanych w ustawie, między innymi w razie zagrożenia dla innych podmiotów albo braku środków do skutecznej obsługi incydentu w przypadku przerwania ciągłości świadczenia usługi. Wniosek warto oprzeć na opisie skutków, wykonanych działań i brakujących możliwości. Należy równolegle prowadzić własne działania ograniczające skutki zdarzenia.

Jeden atak, odrębna ocena skutków

Wymiana ostrzeżeń między uczestnikami powinna odpowiadać wymogom art. 8h CyberbezpU. Art. 8h ust. 4 CyberbezpU wymaga oznaczenia zakresu odbiorców, a ust. 5 zakazuje przekazywania danych osobowych w ramach wymiany prowadzonej na tej podstawie przez system, o którym mowa w art. 46 ust. 1 CyberbezpU. Należy odróżnić takie ostrzeganie od przekazywania danych niezbędnych do ustawowej obsługi incydentu, o którym mowa w art. 11 ust. 1 pkt 5 CyberbezpU. Nie należy automatycznie rozsyłać wszystkim partnerom pełnej dokumentacji poszkodowanego urzędu.

Po opanowaniu zdarzenia warto wspólnie zweryfikować skuteczność odtworzenia usług, odebranie nadmiarowych uprawnień dostępu i wdrożenie korekt procedury. Dokumentacja powinna pozwalać odtworzyć, kto, kiedy i na jakiej podstawie podjął decyzję o określonym działaniu. Ćwiczenie obejmujące zgłoszenie poza godzinami pracy oraz równoczesną awarię u kilku uczestników pozwala ocenić, czy uzgodniony podział zadań jest wykonalny.