Obowiązek informacyjny rodo
Przez lata wiele organizacji traktowało raportowanie incydentów jako ostatni etap całego procesu. Najpierw identyfikowano problem, później usuwano jego skutki, a dopiero na końcu przygotowywano podsumowanie i dokumentację. NIS2 odwraca tę logikę. Dziś obowiązki raportowe pojawiają się niemal równocześnie z wykryciem incydentu.
Dla wielu firm jest to jedna z największych zmian wynikających z nowych regulacji. W praktyce oznacza ona, że organizacja nie może czekać na pełne wyjaśnienie sytuacji. Musi działać równolegle: analizować incydent, ograniczać jego skutki i jednocześnie przygotowywać informacje dla właściwego CSIRT.
To właśnie dlatego tak dużą rolę odgrywa dziś przygotowanie organizacyjne. W chwili wystąpienia incydentu nie ma czasu na zastanawianie się, kto powinien podjąć decyzję, kto odpowiada za zgłoszenie i jakie informacje należy przekazać. Jeżeli proces nie został przygotowany wcześniej, bardzo szybko może okazać się, że największym problemem nie jest sam incydent, lecz chaos organizacyjny.
Osoby odpowiedzialne za bezpieczeństwo często zwracają uwagę na jeden problem: najważniejsze informacje zazwyczaj nie są dostępne od razu. W pierwszych godzinach trwa ustalanie zakresu zdarzenia, analiza logów, identyfikacja systemów objętych problemem oraz ocena potencjalnych skutków.
Gdyby obowiązek zgłoszenia pojawiał się dopiero po zakończeniu wszystkich analiz, organy odpowiedzialne za cyberbezpieczeństwo otrzymywałyby informacje zbyt późno. Dlatego NIS2 zakłada model etapowy. Organizacja najpierw przekazuje sygnał, że doszło do potencjalnie poważnego zdarzenia, następnie uzupełnia informacje o ustalone fakty, a na końcu przedstawia pełny obraz sytuacji.
To podejście jest znacznie bliższe rzeczywistości. Pozwala rozpocząć wymianę informacji szybko, nawet wtedy, gdy nie wszystko jest jeszcze jasne.
Najwięcej emocji budzi zwykle pierwszy termin raportowania. Wiele organizacji obawia się zgłoszenia incydentu, którego skala nie została jeszcze dokładnie określona. Tymczasem celem pierwszego zgłoszenia nie jest przedstawienie kompletnego raportu technicznego.
Najważniejsze jest poinformowanie właściwego CSIRT, że doszło do zdarzenia mogącego mieć istotny wpływ na działalność organizacji lub świadczone usługi. Na tym etapie liczą się podstawowe informacje: charakter zdarzenia, moment wykrycia, potencjalnie dotknięte obszary oraz ocena ryzyka dalszego rozwoju sytuacji.
W praktyce oznacza to, że organizacja nie musi znać wszystkich odpowiedzi. Powinna jednak umieć szybko określić, że doszło do sytuacji wymagającej dalszej analizy i nadzoru. To właśnie dlatego procedury eskalacji są tak ważne. Jeśli przez kilka godzin trwa ustalanie, kto powinien zgłosić incydent, bardzo łatwo utracić cenny czas.
Drugie zgłoszenie wygląda już inaczej. Po upływie około trzech dób organizacja zwykle posiada znacznie więcej informacji niż w pierwszych godzinach po wykryciu incydentu.
Jest to moment, w którym można określić rzeczywisty zakres problemu, zidentyfikować systemy objęte incydentem, ocenić wpływ na działalność organizacji oraz przedstawić działania podjęte w celu ograniczenia zagrożenia.
To również etap, na którym pojawiają się pierwsze decyzje biznesowe. Organizacja zaczyna planować komunikację z klientami, partnerami lub dostawcami, a równolegle podejmuje działania związane z odtwarzaniem usług i przywracaniem normalnego funkcjonowania.
Można powiedzieć, że pierwszy raport odpowiada na pytanie „co się stało?”, natomiast drugi zaczyna odpowiadać na pytanie „jak duży jest problem?”.
Wiele osób postrzega końcowe raportowanie jako formalność. Tymczasem właśnie ten etap najpełniej pokazuje, czy organizacja potrafi wyciągać wnioski z incydentów.
Raport końcowy nie powinien ograniczać się do opisu przebiegu zdarzenia. Powinien przedstawiać przyczyny incydentu, jego wpływ na organizację, działania naprawcze oraz zmiany wprowadzone po zakończeniu obsługi zdarzenia.
To dokument, który pozwala odpowiedzieć na pytanie nie tylko „co się wydarzyło?”, ale również „czego się nauczyliśmy?”. Dobrze przygotowany raport końcowy często staje się podstawą do aktualizacji procedur, przeglądu ryzyk oraz planowania działań doskonalących.
Co ciekawe, w praktyce największą trudnością rzadko jest samo przygotowanie zgłoszenia. Znacznie częściej problem pojawia się na etapie podejmowania decyzji.
Pracownik nie wie, komu przekazać informację. Zespół techniczny nie jest pewien, czy zdarzenie należy traktować jako incydent. Kierownictwo dowiaduje się o problemie z opóźnieniem. W efekcie organizacja traci godziny nie na raportowanie, ale na ustalanie odpowiedzialności.
Dlatego skuteczne wdrożenie NIS2 zaczyna się znacznie wcześniej niż w chwili wystąpienia incydentu. Zaczyna się od jasnego określenia ról, odpowiedzialności i ścieżek eskalacji. Im krótsza droga od wykrycia zdarzenia do uruchomienia procedur, tym większa szansa na terminową realizację obowiązków raportowych.
Choć zakres informacji będzie zależał od charakteru i skali incydentu, każde zgłoszenie powinno odpowiadać na trzy podstawowe pytania.
Po pierwsze: co się wydarzyło? Organizacja powinna opisać charakter zdarzenia oraz okoliczności jego wykrycia.
Po drugie: jakie są skutki? Chodzi o wpływ incydentu na systemy, usługi, dane, klientów oraz procesy biznesowe.
Po trzecie: co zostało zrobione? Istotne jest przedstawienie działań podjętych w celu ograniczenia skutków incydentu oraz zapobieżenia jego dalszemu rozwojowi.
To właśnie te informacje pozwalają właściwemu CSIRT ocenić sytuację i określić, czy konieczne są dalsze działania.
NIS2 nie wymaga od organizacji natychmiastowej wiedzy o wszystkich aspektach incydentu. Wymaga natomiast zdolności do szybkiego przekazywania informacji i systematycznego ich uzupełniania.
Dlatego raportowanie nie zaczyna się od formularza ani od zgłoszenia do CSIRT. Zaczyna się od dobrze przygotowanej procedury eskalacji, jasnego podziału odpowiedzialności oraz sprawnego procesu klasyfikacji incydentów.
Bo w praktyce największym zagrożeniem nie jest brak wszystkich odpowiedzi. Największym zagrożeniem jest sytuacja, w której organizacja wie, że ma problem, ale nie wie, kto powinien wykonać kolejny krok.