Plan reagowania na incydenty dla małej firmy

Sobota, siódma rano. Na firmowej drukarce leży kartka z żądaniem okupu, a dysk sieciowy jest pusty. Pierwsza myśl: wyłączyć serwer. Druga: zadzwonić do informatyka. Trzecia, zwykle za późno: kto właściwie podejmuje decyzje i kogo trzeba powiadomić w ciągu najbliższych godzin?

Plan reagowania istnieje po to, żeby te pytania miały odpowiedź zapisaną wcześniej. 45% organizacji takiego dokumentu nie ma, a jedynie 30% firm, które go mają, testuje go regularnie. Brak planu podnosi koszty odtworzenia — raport IBM Cost of a Data Breach wskazuje na 58% różnicy względem firm z przećwiczoną procedurą.

Poniżej szkielet do wdrożenia w firmie od pięciu do pięćdziesięciu osób: role, poziomy ważności, sześć faz, wzory komunikatów i testy.

Plan pisze się w spokojnym tygodniu

Dokument ma jedną funkcję: zastąpić improwizację powtarzalną sekwencją kroków. W praktyce oznacza to cztery rzeczy zapisane wprost — kto kieruje działaniami, kto wykonuje czynności techniczne, kto ocenia obowiązki prawne i kto mówi do klientów.

Dobry plan dla małej firmy ma od ośmiu do piętnastu stron. Nie musi opisywać każdego scenariusza; musi być na tyle konkretny, żeby osoba bez doświadczenia wykonała pierwsze kroki samodzielnie.

Co wymagają przepisy i normy

RODO w artykułach 33 i 34 nakłada obowiązek zgłoszenia naruszenia ochrony danych do organu nadzorczego w ciągu 72 godzin od stwierdzenia, jeśli istnieje ryzyko dla osób. To termin, którego nie da się dotrzymać bez wcześniej ustalonej ścieżki: kto ocenia ryzyko, kto przygotowuje zgłoszenie, kto je podpisuje.

NIST SP 800-61 Rev. 3 z 2025 roku porządkuje reagowanie wokół funkcji CSF 2.0, a standard PCI DSS 4.0.1 w wymaganiu 12.10 oczekuje planu i jego corocznego testowania od firm przetwarzających karty. Towarzystwa ubezpieczeniowe coraz częściej pytają o dokument przy zawieraniu polisy cyber. Każdy wymóg warto potwierdzić z prawnikiem — zakres zależy od branży i skali przetwarzania.

Szkielet dokumentu i karta zmian

Nagłówek zawiera te same pola co każda inna polityka: nazwę, wersję, datę, właściciela, osobę zatwierdzającą, częstotliwość przeglądu (kwartalnie) i klasyfikację „poufne”. Pod nim karta zmian z kolumnami: wersja, data, autor, opis modyfikacji — bez niej audytor nie odróżni dokumentu żywego od martwego.

Spis treści obejmuje: cel i zakres, role i kontakty, klasyfikację incydentów, procedurę sześciofazową, zasady komunikacji, listę podmiotów zewnętrznych, rejestr incydentów i załączniki. Wśród załączników powinny znaleźć się schemat sieci, lista kontaktów w wersji do wydruku oraz wzory komunikatów. Jeden egzemplarz trzymaj poza systemami, które mogą zostać zaszyfrowane.

Role w zespole reagowania

Tabela ról nie może być listą życzeń. Każda rola potrzebuje nazwiska, numeru telefonu i osoby zastępującej — incydent rzadko wybiera dogodny termin.

Rola	Zakres	Zastępstwo
Kierownik reagowania	Prowadzi incydent, podejmuje decyzje, informuje zarząd	wyznaczona osoba z kierownictwa
Respondent techniczny	Analiza, izolacja, odtworzenie systemów	administrator zewnętrzny
Prawnik lub zgodność	Ocena obowiązków zgłoszeniowych, kontakt z UODO	kancelaria zewnętrzna
Komunikacja	Komunikaty dla pracowników, klientów i mediów	osoba z marketingu
Sponsor zarządu	Budżet, decyzje biznesowe, kontakt z zarządem	prezes
Zewnętrzna firma IR	Śledztwo techniczne, wsparcie w usuwaniu skutków	umowa ramowa

W firmie do dwudziestu osób te role często łączy jedna osoba. Minimum to kierownik reagowania, respondent techniczny i podpisana umowa z firmą zewnętrzną, którą można obudzić w nocy.

Cztery poziomy ważności

Klasyfikacja chroni przed paniką przy drobnym zdarzeniu i zwłoką przy poważnym. Wystarczą cztery poziomy z jasnymi kryteriami.

Poziom	Przykład	Czas reakcji
SEV-1	Ransomware, potwierdzony wyciek danych, zatrzymana działalność	15 minut
SEV-2	Przejęte konto administratora, złośliwe oprogramowanie na kilku komputerach	1 godzina
SEV-3	Nietypowe logowania, phishing z podanym hasłem, dziwny ruch wychodzący	4 godziny
SEV-4	Zablokowana próba ataku, zgubiony nośnik bez danych wrażliwych	24 godziny

Poziom ustala kierownik reagowania na podstawie objawów, nie pewności. W razie wątpliwości lepiej zacząć wyżej.

Fazy 1 i 2: przygotowanie i identyfikacja

Przygotowanie to nie reakcja, a wszystko, co dzieje się przed nią. Minimum dla małej firmy: aktualny spis aktywów, włączone logi w systemach chmurowych i na stacjach roboczych, MFA na kontach uprzywilejowanych, kopie zapasowe według zasady 3-2-1 z jedną kopią offline oraz ustalony kanał komunikacji zapasowej.

Gdy pojawia się alert, nie jest on jeszcze incydentem. Trzeba potwierdzić, że zdarzenie jest realne, oszacować zasięg i przypisać poziom ważności.

Zapisuj godzinę wykrycia, źródło alertu i nazwisko osoby, która go zobaczyła.
Zachowaj dowody, zanim cokolwiek zrestartujesz: zrzuty ekranu, fragmenty logów, sumy kontrolne plików.
Powiadom kierownika reagowania telefonicznie, nie mailem — skrzynka może być przejęta.
Otwórz rejestr incydentu i prowadź go na bieżąco, z czasem każdej czynności.

Fazy 3 i 4: powstrzymanie i usunięcie

Powstrzymanie ma zatrzymać rozprzestrzenianie bez niszczenia śladów. W pierwszej półgodzinie: odłącz zainfekowane maszyny od sieci, zablokuj złośliwe adresy i domeny, wyłącz przejęte konta, odłącz kopie zapasowe od sieci produkcyjnej.

Dopiero potem usuwaj przyczynę: wyczyść mechanizmy utrzymania dostępu, zmień poświadczenia wszystkich kont, do których mógł dotrzeć napastnik, załatuj wykorzystaną podatność i przeskanuj środowisko pod kątem wskaźników kompromitacji oraz technik i taktyk TTP. Odłączanie kopii zapasowych w pierwszej kolejności to szczegół, o którym najczęściej zapominają firmy bez planu — ransomware aktywnie szuka dysków sieciowych.

Fazy 5 i 6: odtworzenie i wnioski

Systemy wracają z czystych obrazów i zweryfikowanych kopii, etapami: najpierw poczta i finanse, potem reszta. Przez trzydzieści dni po odtworzeniu warto utrzymać podwyższony monitoring i sprawdzić, czy wskaźniki kompromitacji nie wróciły.

Wnioski spisuje się w ciągu dwóch tygodni, w atmosferze bez szukania winnych. Dokument powinien zawierać oś czasu, wektor wejścia, czas od pierwszego dostępu do wykrycia, to, co zadziałało, i listę poprawek z właścicielami. Bez tego etapu ten sam błąd powtórzy się przy następnym incydencie.

Komunikacja i kanał zapasowy

Jeśli napastnik kontroluje pocztę, plan wysłany mailem trafia do niego. Ustal z góry kanał zastępczy: numery telefonów w wydrukowanej liście, grupę w komunikatorze z szyfrowaniem end-to-end albo spotkanie w sali bez komputerów. Wzory komunikatów trzymaj w dwóch wersjach — wewnętrznej i zewnętrznej.

Komunikat wewnętrzny mówi, co wiadomo, czego nie robić i gdzie zgłaszać podejrzane objawy. Zewnętrzny, dla klientów lub organu, odpowiada na cztery pytania: co się stało, jakich danych dotyczy, co firma robi i co mogą zrobić odbiorcy.

Jak testować plan

Ćwiczenie stołowe dwa razy w roku wystarcza, żeby znaleźć większość luk: zespół przechodzi scenariusz na papierze, sprawdzając, czy numery są aktualne, czy każda rola ma zastępcę i czy wzory komunikatów da się wypełnić w kwadrans. Raz w roku warto zrobić próbę z udziałem firmy zewnętrznej. CISA udostępnia bezpłatne pakiety ćwiczeń tabletop dla organizacji publicznych i prywatnych.

Po każdym ćwiczeniu plan dostaje nową wersję i wpis w karcie zmian — bez daty testu jest dokumentem, nie procedurą.

Najczęściej zadawane pytania

Czy mała firma naprawdę potrzebuje planu reagowania?

Tak. Incydent nie omija mniejszych organizacji, a bez planu decyzje podejmuje się pod presją i zwykle za późno. Dokument skraca czas reakcji i porządkuje obowiązki zgłoszeniowe.

Kiedy zgłosić naruszenie do UODO?

W ciągu 72 godzin od stwierdzenia naruszenia, jeśli może ono powodować ryzyko dla praw osób. Termin liczy się od momentu uzyskania wiedzy, dlatego ocena prawna musi być częścią procedury, nie krokiem po fakcie.

Ile osób powinno znać plan?

Wszyscy, którzy mogą odebrać alert, oraz cały zespół reagowania. Co najmniej dwie osoby muszą umieć wykonać każdą rolę, inaczej urlop paraliżuje procedurę.

Jak często testować plan?

Ćwiczenie stołowe co pół roku i jedna bardziej realistyczna próba w roku. Po każdym teście aktualizuj plan i zapisuj zmiany — to dowód, że procedura żyje.

Co zrobić w pierwszej godzinie po ataku ransomware?

Odizoluj zainfekowane maszyny, odłącz kopie zapasowe, powiadom kierownika reagowania i uruchom rejestr incydentu. Nie płać okupu i nie restartuj systemów, zanim ktoś zabezpieczy dowody.

Potrzebujesz planu dopasowanego do swojej firmy? Porozmawiaj z zespołem.

Plan reagowania na incydenty: szablon dla MŚP