Pierwsze godziny po incydencie: co zrobić, a czego nigdy nie robić

Odciąć maszynę od sieci, ale nie wyłączać jej od razu – to jedna z pierwszych zasad, którą w panice łamie niemal każda firma. Z prawnego punktu widzenia pierwsze godziny po wykryciu incydentu to czas absolutnie krytyczny – to tu popełnia się błędy, których później nie da się naprawić, zarówno w kontekście dowodowym, jak i odpowiedzialności.

Co zrobić w pierwszych godzinach

• Zabezpieczenie środowiska. Zainfekowaną maszynę należy odciąć od sieci – ale uwaga, nie wyłączać od razu. Wyłączenie systemu powoduje utratę zawartości pamięci operacyjnej, która może zawierać kluczowe ślady ataku. Równolegle trzeba zablokować konto użytkownika i wycofać tokeny sesji, np. w Entra ID.

• Zatrzymanie rozprzestrzeniania. Segmentacja sieci, blokady w firewallu i EDR. Priorytet: nie dopuścić, by atak objął kolejne systemy.

• Kopia dowodowa. Zabezpieczenie logów z SIEM, M365, firewalla, kopii dysku VM, pamięci operacyjnej, a w przypadku ransomware również wiadomości od atakujących. Bez tej dokumentacji firma traci możliwość ustalenia pełnego zakresu incydentu i wykazania, że podjęła adekwatne działania.

• Uruchomienie procedury incydentu. Powiadomienie IT sec, SOC, kierownictwa. Nie chodzi o eskalację paniki, ale o uruchomienie z góry określonego, skoordynowanego procesu.

• Zebranie pierwszych faktów. Co się stało? Kiedy? Jaki zakres? Te trzy pytania są bazą każdego dalszego działania – zarówno technicznego, jak i prawnego.

Czego nie wolno robić

Z perspektywy prawnej to lista błędów, które niezwykle łatwo popełnić:

• Nie restartować pochopnie systemów. Można w ten sposób zniszczyć dowody i utracić możliwość ustalenia, co naprawdę się stało.

• Nie usuwać logów ani plików. Nawet jeśli wyglądają podejrzanie – to potencjalny materiał dowodowy. Celowe usunięcie może być później kwalifikowane jako utrudnianie dochodzenia.

• Nie działać chaotycznie bez koordynacji. Brak koordynacji to nie tylko chaos operacyjny – to sytuacja, w której poszczególne osoby podejmują decyzje bez wiedzy o całości obrazu, co może prowadzić do sprzecznych działań.

• Nie bagatelizować incydentu. Nawet jeśli dotyczy jednego użytkownika – kompromitacja jednego konta M365 może dać dostęp do całej skrzynki korespondencji, harmonogramów, umów. Zgłoszenie po czasie jest jedną z najczęstszych podstaw kar UODO.

• Nie ukrywać incydentu. To chyba najpoważniejszy błąd. Ukrycie naruszenia to nie tylko ryzyko kary administracyjnej – to potencjalna odpowiedzialność karna, jeśli sprawa dotyczy np. naruszenia tajemnicy przedsiębiorstwa lub danych szczególnie wrażliwych.

Najczęściej zadawane pytania

Czy zainfekowaną maszynę należy od razu wyłączyć?

Nie. Maszynę trzeba odciąć od sieci, ale nie wyłączać – wyłączenie powoduje utratę zawartości pamięci operacyjnej, w której mogą znajdować się kluczowe ślady ataku.

Czy usunięcie podejrzanych plików albo logów przyspieszy sprawę?

Nie – wręcz przeciwnie. Logi i pliki to potencjalny materiał dowodowy, a ich celowe usunięcie może być później kwalifikowane jako utrudnianie dochodzenia.

Czy warto zgłosić incydent dopiero, gdy sytuacja się wyjaśni?

Nie. Zgłoszenie po czasie jest jedną z najczęstszych podstaw kar nakładanych przez UODO, a ukrycie incydentu może rodzić nawet odpowiedzialność karną.

Jeśli w Państwa organizacji doszło do incydentu bezpieczeństwa i potrzebują Państwo wsparcia w pierwszych, kluczowych godzinach reakcji, zapraszamy do kontaktu z kancelarią.