Obowiązek informacyjny rodo
W organizacjach każdego dnia dzieją się setki rzeczy, które mogą wzbudzać niepokój. Pracownik zgłasza podejrzaną wiadomość e-mail. System monitorujący wykrywa nietypowy ruch sieciowy. Narzędzie bezpieczeństwa blokuje próbę logowania z nieznanej lokalizacji. Zdarza się także chwilowa niedostępność usługi albo błąd aplikacji, który znika równie szybko, jak się pojawił.
Pojawia się wtedy pytanie: czy mamy do czynienia z incydentem, czy jedynie ze zdarzeniem, które wymaga sprawdzenia?
To pozornie drobne rozróżnienie ma ogromne znaczenie. Od właściwej oceny sytuacji zależy bowiem nie tylko sposób reakcji organizacji, ale również obowiązki wynikające z NIS2 i RODO. W niektórych przypadkach konieczne będzie uruchomienie procedur kryzysowych, zaangażowanie kierownictwa, a nawet zgłoszenie incydentu do właściwego organu. W innych wystarczy odnotowanie zdarzenia i jego analiza.
Właśnie dlatego jednym z najważniejszych pytań w cyberbezpieczeństwie nie jest dziś „czy coś się wydarzyło?”, ale „czy to zdarzenie jest już incydentem?”.
W praktyce można zaobserwować dwa skrajne podejścia. Pierwsze polega na traktowaniu każdego alarmu jako poważnego zagrożenia. W takiej sytuacji organizacja angażuje czas i zasoby do zdarzeń, które nie mają realnego wpływu na bezpieczeństwo. Drugie podejście jest równie niebezpieczne. Zakłada, że większość zdarzeń „sama się wyjaśni”, przez co rzeczywiste incydenty są dostrzegane zbyt późno.
Oba scenariusze prowadzą do problemów. W pierwszym organizacja traci efektywność, w drugim może przeoczyć sytuację, która wymaga natychmiastowej reakcji.
Dlatego tak ważne jest zrozumienie, że alarm, zdarzenie i incydent nie oznaczają tego samego. Sam fakt wykrycia nietypowej sytuacji nie oznacza jeszcze kryzysu. Bardzo często jest to dopiero sygnał, który należy zweryfikować. Dopiero analiza pozwala określić, czy mamy do czynienia z czymś, co może wpłynąć na bezpieczeństwo organizacji, jej danych lub usług.
Najprościej można powiedzieć, że incydent pojawia się wtedy, gdy zdarzenie wpływa lub może wpłynąć na bezpieczeństwo organizacji. Nie chodzi więc o sam fakt wystąpienia problemu, ale o jego potencjalne skutki.
Jeżeli nietypowe zdarzenie prowadzi do zakłócenia działania systemów, przerwy w świadczeniu usług, utraty danych albo innych negatywnych konsekwencji dla organizacji lub jej klientów, powinniśmy traktować je jako incydent wymagający obsługi.
Warto podkreślić jeszcze jedną rzecz. Nie każdy incydent będzie wymagał zgłoszenia do organów nadzorczych. Wszystkie incydenty powinny być jednak zarządzane, rejestrowane i analizowane. Dopiero na kolejnym etapie organizacja ocenia, czy zdarzenie spełnia kryteria raportowania.
To właśnie dlatego klasyfikacja jest jednym z najważniejszych elementów całego procesu reagowania.
W przypadku NIS2 kluczowe znaczenie ma wpływ zdarzenia na działalność organizacji i ciągłość świadczonych usług. Jeśli skutki incydentu mogą doprowadzić do poważnego zakłócenia funkcjonowania firmy, strat finansowych lub negatywnych konsekwencji dla odbiorców usług, należy uruchomić odpowiednie procedury.
To podejście jest bardzo praktyczne. NIS2 nie koncentruje się wyłącznie na technologii. Interesuje ją przede wszystkim to, jaki wpływ incydent ma na organizację i jej otoczenie.
Dlatego dwie firmy mogą ocenić podobne zdarzenie w różny sposób. To samo zakłócenie w jednej organizacji może być problemem technicznym o niewielkim znaczeniu, a w drugiej może prowadzić do przerwania kluczowych usług.
RODO patrzy na incydent z zupełnie innej perspektywy. Dla przepisów dotyczących ochrony danych osobowych najważniejsze jest to, czy doszło do naruszenia danych osobowych.
Dobrym przykładem jest atak DDoS. Może on uniemożliwić korzystanie ze strony internetowej lub usługi online, a więc stanowić istotny incydent z punktu widzenia cyberbezpieczeństwa. Jeżeli jednak nie doszło do utraty, ujawnienia lub przejęcia danych osobowych, obowiązki wynikające z RODO mogą w ogóle nie wystąpić.
Inaczej wygląda sytuacja przy wycieku bazy klientów, przejęciu danych logowania czy nieautoryzowanym dostępie do danych osobowych. W takim przypadku organizacja będzie musiała ocenić zarówno obowiązki wynikające z NIS2, jak i z RODO.
To pokazuje, że ten sam incydent może podlegać różnym reżimom prawnym jednocześnie.
Jednym z najczęstszych błędów jest odkładanie klasyfikacji zdarzenia na później. Tymczasem właśnie pierwsze godziny po wykryciu problemu decydują o dalszych działaniach organizacji.
Jeżeli nie wiadomo, czy zdarzenie wpływa na usługi, czy dotyczy danych osobowych i jakie mogą być jego skutki biznesowe, trudno podjąć właściwe decyzje. A to może prowadzić do opóźnień w raportowaniu oraz problemów z realizacją obowiązków regulacyjnych.
Dlatego dojrzałe organizacje nie ograniczają się do wdrożenia narzędzi monitorujących. Równie dużo uwagi poświęcają procedurom klasyfikacji, które pomagają szybko odpowiedzieć na kilka podstawowych pytań: jaki jest wpływ zdarzenia, kto powinien zostać poinformowany i czy istnieje obowiązek zgłoszenia.
Nowoczesne rozwiązania bezpieczeństwa potrafią generować ogromną liczbę alertów. Samo wykrycie zdarzenia nie stanowi już dziś największego problemu. Prawdziwym wyzwaniem jest oddzielenie sytuacji rutynowych od tych, które mogą przerodzić się w realny kryzys.
Dlatego skuteczne zarządzanie incydentami nie polega na reagowaniu na wszystko. Polega na właściwej ocenie tego, co naprawdę ma znaczenie.
Można to sprowadzić do jednego zdania: nie chodzi o to, aby każdy alarm traktować jak katastrofę. Chodzi o to, aby żadnej potencjalnej katastrofy nie uznać za zwykły alarm.