Roczny raport o cyberbezpieczeństwie nie jest licznikiem wszystkich ataków na państwo. Pokazuje zdarzenia widoczne z określonego miejsca systemu: zgłoszone, zakwalifikowane, obsłużone według przyjętych definicji i właściwości instytucji. Dlatego spadek jednej liczby nie dowodzi poprawy, a wzrost innej nie dowodzi wyłącznie pogorszenia. Zmieniają się obowiązki raportowania, zakres podmiotów, zdolności lokalnych zespołów, deduplikacja, narzędzia detekcji i zachowanie przeciwnika.

Raport CSIRT GOV za 2024 r. jest wartościowy, ponieważ łączy statystykę z obrazem działań wobec administracji publicznej i infrastruktury krytycznej: socjotechniką, operacjami państwowymi, haktywizmem, DDoS, hack-and-leak, próbami wpływu na OT/ICS i ryzykiem łańcucha dostaw. Dane za 2025 r., opublikowane w kwietniu 2026 r., pokazują jednak zmianę skali: CSIRT GOV obsłużył 5033 incydenty, o 26,1% więcej niż rok wcześniej. Tekst przedstawia więc rok 2024 jako punkt odniesienia, a nie aktualną prognozę.

Stan prawny sprawdzono na 23 sierpnia 2026 r. Od 3 kwietnia obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2. Wprowadziła podmioty kluczowe i ważne, rozszerzyła sektory, wzmocniła zarządzanie ryzykiem, raportowanie, nadzór i bezpieczeństwo łańcucha dostaw. Stare opisy systemu, pisane przed tą datą, trzeba czytać historycznie.

Artykuł ma charakter defensywny i kryminalistyczny. Nie odtwarza procedur ataku, kodu ani sposobów unikania detekcji. Techniczne zabezpieczenie logów, rekonstrukcję ruchu i ostrożną atrybucję rozwija tekst Sieć i cyberincydent jako materiał dowodowy, a ryzyko wynikające z informacji jawnych — Otwarte informacje jako powierzchnia zagrożenia.

Co rzeczywiście mierzy raport CSIRT

Zgłoszenie, incydent i operacja przeciwnika

Zgłoszenie jest informacją o potencjalnym zdarzeniu. Może okazać się fałszywym alarmem, duplikatem, podatnością bez wykorzystania albo zdarzeniem należącym do innego zespołu. Incydent jest zdarzeniem zakwalifikowanym według ustawowej i operacyjnej definicji. Operacja przeciwnika może obejmować wiele incydentów w kilku organizacjach, a jeden incydent może zawierać tysiące automatycznych prób.

Nie wolno sumować tych kategorii ani porównywać ich bez słownika. Kampania phishingowa rozesłana do stu instytucji może być liczona jako sto zgłoszeń, jeden wzorzec kampanii lub kilka incydentów. Atak DDoS zmieniający źródła przez wiele godzin nadal może być jednym zdarzeniem. Z kolei jedno przejęcie dostawcy może wywołać odrębne incydenty u wielu klientów.

Dane CSIRT GOV za lata 2022–2024

Raport za 2024 r. wskazywał 26 753 zgłoszenia i 4959 incydentów w 2022 r., 19 888 zgłoszeń i 4676 incydentów w 2023 r. oraz 17 439 zgłoszeń i 3991 incydentów w 2024 r. Udział incydentów w zgłoszeniach wynosił odpowiednio około 18,5%, 23,5% i 22,9%. Są to proste ilorazy, nie oficjalny miernik skuteczności.

W tym szeregu zgłoszenia spadły między 2022 i 2024 r. o około 34,8%, a incydenty o 19,5%. Możliwe wyjaśnienia obejmują lepsze filtrowanie, większą świadomość użytkowników, lokalną obsługę przez SOC, zmianę wzorców ataku i zmianę raportowania. Bez danych o ekspozycji, liczbie chronionych systemów, właściwości zespołu i regułach klasyfikacji nie można wybrać jednej przyczyny.

Dlaczego rok 2025 zmienia interpretację

Sprawozdanie Pełnomocnika Rządu za 2025 r. podaje 5033 incydenty obsłużone przez CSIRT GOV, 7125 przez CSIRT MON i 260 783 przez CSIRT NASK. Łącznie krajowe CSIRT-y otrzymały ponad 682 tys. zgłoszeń i obsłużyły blisko 273 tys. incydentów. Liczby różnych zespołów nie opisują tych samych populacji i nie służą do rankingu jakości.

Wzrost CSIRT GOV o 26,1% względem 2024 r. pokazuje, że wcześniejszy spadek nie był trwałym dowodem redukcji zagrożenia. Mógł oznaczać przejściową zmianę widoczności albo działania przeciwnika. Raport za 2025 r. wskazuje intensyfikację operacji państwowych, haktywistycznych i przestępczych oraz użycie AI do skalowania socjotechniki. Dla analityka najważniejsza jest zatem seria definicji i zdarzeń, nie pojedynczy procent.

Miejsce CSIRT GOV w systemie

Trzy zespoły poziomu krajowego

Polski model obejmuje CSIRT GOV prowadzony przez Szefa ABW, CSIRT MON oraz CSIRT NASK. Podział wynika z właściwości ustawowej, a nie z hierarchii „lepszy–gorszy”. Zespół przyjmuje zgłoszenie, ocenia je, koordynuje obsługę, ostrzega inne podmioty, przekazuje informacje i może wspierać analizę techniczną. Zdarzenie przekraczające obszary wymaga współpracy.

CSIRT nie zastępuje organu prowadzącego postępowanie karne, administratora systemu, kierownika podmiotu ani regulatora sektorowego. Reagowanie ma przywrócić bezpieczeństwo i ograniczyć skutek; postępowanie karne ma zabezpieczyć dowody i ustalić odpowiedzialność; nadzór ocenia wykonanie obowiązków. Te cele mogą korzystać z tych samych danych, ale inaczej ustalają priorytety i podstawy prawne.

Informacja ostrzegawcza i dowód

Wskaźnik kompromitacji przekazany przez CSIRT służy wykrywaniu podobnej aktywności. Może być domeną, adresem, skrótem pliku, wzorcem certyfikatu albo cechą zachowania. IOC traci aktualność, może wystąpić w legalnej infrastrukturze i wymaga kontekstu. Trafienie powinno wywołać weryfikację, nie automatyczne przypisanie sprawcy.

Komunikat ostrzegawczy może celowo ograniczać szczegóły, aby nie ujawnić źródeł lub podatności. W postępowaniu procesowym trzeba dotrzeć do danych pierwotnych: logu, pliku, obrazu systemu, konfiguracji, zapisu czasu i osoby, która dokonała analizy. Raport zbiorczy jest źródłem kontekstu, nie substytutem dowodu konkretnego incydentu.

Nowelizacja KSC z 2026 r.

Ustawa z 23 stycznia 2026 r. weszła w życie 3 kwietnia. Zastąpiła dawny podział operatorów usług kluczowych i dostawców usług cyfrowych szerszym modelem podmiotów kluczowych i ważnych. Objęła nowe sektory, rozbudowała obowiązki zarządzania ryzykiem, rejestracji, zgłaszania incydentów, audytu, ciągłości i łańcucha dostaw oraz wzmocniła kompetencje CSIRT-ów i organów właściwych.

Podmioty spełniające kryteria na dzień wejścia ustawy mają do 3 października 2026 r. na wpis i rozpoczęcie korzystania z S46 oraz wykonanie wskazanych obowiązków przejściowych. Samorejestrację uruchomiono 7 maja. Dwunastomiesięczny okres dostosowawczy nie oznacza braku obowiązków ani zakazu wcześniejszego działania. Termin kary i termin wykonania środka bezpieczeństwa to różne kwestie.

Od phishingu do operacji wieloetapowej

Socjotechnika jako początek, nie całość

Phishing może służyć kradzieży hasła, uruchomieniu pliku, przejęciu sesji, skłonieniu do przelewu albo rozpoznaniu sposobu reakcji organizacji. Spearphishing wykorzystuje kontekst konkretnej osoby lub jednostki. Vishing przenosi wpływ do rozmowy głosowej. W 2025 r. modele generatywne ułatwiły poprawne językowo i spersonalizowane wiadomości, lecz rdzeniem nadal jest nadużycie zaufania i procesu.

Obrona nie może ograniczać się do szkolenia „nie klikaj”. Potrzebne są odporne uwierzytelnianie, ochrona sesji, filtrowanie, separacja uprawnień, potwierdzenie dyspozycji drugim kanałem, monitoring zmian i szybkie zgłoszenie. Pracownik po błędzie powinien móc natychmiast alarmować bez obawy, że ukrycie zdarzenia będzie dla niego bezpieczniejsze.

Konto pocztowe jako infrastruktura wpływu

Przejęta skrzynka może służyć nie tylko dalszemu phishingowi. Daje historię relacji, dokumenty, kalendarz i możliwość publikacji pozornie autentycznej wiadomości. Kampanie przypisywane UNC1151 pokazały połączenie kradzieży dostępu z operacją informacyjną. Autentyczne konto i część prawdziwych dokumentów mogą uwiarygodnić zmanipulowaną narrację.

Po incydencie trzeba sprawdzić reguły przekazywania, delegacje, tokeny aplikacji, historię logowań, zmiany metod odzyskania, operacje na skrzynce i komunikaty wysłane do kontaktów. Reset hasła bez unieważnienia sesji lub zgód aplikacji może pozostawić dostęp. Dział komunikacji powinien równolegle ocenić, czy skradzione dane mogą zostać użyte w hack-and-leak.

Tożsamość chmurowa jako płaszczyzna sterowania

W środowisku SaaS przejęcie tożsamości może dać dostęp do poczty, plików, konsoli administracyjnej i aplikacji bez klasycznego malware na stacji. Napastnik może użyć ważnego tokenu sesyjnego, zgody OAuth, klucza aplikacji albo procesu odzyskania. Brak nowego pliku wykonywalnego nie oznacza braku trwałości.

NIST SP 800-63B-4 rozróżnia samo MFA od odporności na phishing. OTP i zatwierdzenie push mogą zostać przekazane lub zrelayowane, ponieważ wynik nie jest związany z prawdziwym weryfikatorem. Uwierzytelnianie kryptograficzne z verifier-name lub channel binding ogranicza ten model ataku, lecz nadal wymaga bezpiecznego enrollmentu, recovery i zarządzania sesją.

Reakcja obejmuje unieważnienie access i refresh tokens, przegląd nowych urządzeń, metod MFA, service principals, zgód aplikacji, reguł skrzynki oraz logów administracyjnych. Dowód powinien odróżniać pierwotne uwierzytelnienie od późniejszego użycia sesji, która może pozostawać ważna długo po wyjściu użytkownika.

Podatność jest szersza niż CVE

Błąd z identyfikatorem CVE jest tylko jedną klasą. Podatnością może być błędna konfiguracja, nadmierne uprawnienie, publiczny panel, pozostawione konto, zaufanie między systemami albo legalna funkcja użyta niezgodnie z celem. Raport za 2024 r. zwracał uwagę między innymi na środowiska Active Directory, usługi pocztowe i urządzenia brzegowe.

Program zarządzania podatnościami musi łączyć inwentaryzację, informację o ekspozycji, krytyczność usługi, możliwość wykorzystania i kontrolę kompensacyjną. Liczba zamkniętych CVE nie mierzy odporności, jeśli organizacja nie zna urządzeń albo naprawa nie obejmuje konfiguracji i kont uprzywilejowanych.

CVSS, KEV i osiągalność

CVSS opisuje techniczne właściwości podatności, nie prawdopodobieństwo wykorzystania jej w konkretnej organizacji. Wysoka wartość może dotyczyć komponentu odizolowanego, a luka oceniona niżej — urządzenia brzegowego dostępnego z internetu i używanego w trwającej kampanii. Kolejka napraw nie może być sortowaniem jednej kolumny.

CISA Known Exploited Vulnerabilities potwierdza wykorzystanie in the wild i jest ważnym sygnałem pilności, lecz wpis nie dowodzi kompromitacji własnego systemu. Priorytet powinien połączyć obecność właściwej wersji, reachability ścieżki, wymagane uprawnienia, krytyczność usługi, ekspozycję, KEV, dostępność obejścia i jakość telemetrii.

Po naprawie wykonuje się dwa testy: czy podatność przestała być osiągalna oraz czy przed zmianą nie została wykorzystana. Potwierdzenie wersji po patchu nie zastępuje threat huntingu w okresie ekspozycji. Dla urządzenia bez pełnego EDR potrzebne mogą być logi sieciowe, konfiguracja, konta, certyfikaty i porównanie firmware.

Rozróżnienie cyberprzestępczości, szpiegostwa, cyberwojny, sabotażu i cyberterroryzmu według sprawcy, celu, skutku oraz funkcji komunikacyjnej rozwija serwis Terroryzm — cyberterroryzm, cyberwojna i cyberprzestępczość. Niniejszy tekst koncentruje się na polskim systemie reagowania, materiale dowodowym i odporności.

Operacje państwowe i granice atrybucji

Nazwa grupy jest etykietą analityczną

APT28, APT29, APT44, UNC1151 i inne nazwy pochodzą od różnych dostawców i instytucji. Jedna grupa może mieć kilka etykiet, a ta sama etykieta może z czasem obejmować zmieniony zestaw aktywności. Raport powinien zawsze wskazywać, kto przypisał kampanię, kiedy, na jakim poziomie pewności i które zachowania objęto nazwą.

Atrybucja ma poziomy. Można z dużą pewnością połączyć pliki z kampanią, infrastrukturę z operatorem, operatora z grupą, a grupę z instytucją państwową — lecz każde połączenie wymaga innych danych. Podobny kod lub cel polityczny nie wystarcza sam. Przejęty serwer, narzędzie publiczne i celowanie w ten sam sektor tworzą alternatywne wyjaśnienia.

Kierunek rosyjski

Raport CSIRT GOV wskazywał dominację aktywności rosyjskiej wobec polskich instytucji. APT28 publicznie wiązano z rosyjskim wywiadem wojskowym; kampanie koncentrowały się na phishingu, poczcie, pozyskiwaniu informacji i wykorzystywaniu podatności. APT29 wiązano z rosyjską Służbą Wywiadu Zagranicznego i rozpoznaniem administracji, dyplomacji, obrony oraz podmiotów wspierających Ukrainę.

Informacja o kierunku nie usprawiedliwia skrótu „rosyjski adres IP = rosyjski sprawca”. Operacje używają infrastruktury w wielu państwach, przejętych urządzeń i komercyjnych usług. Wniosek procesowy powinien oddzielać geolokalizację węzła, operatora konta, autora narzędzia, zleceniodawcę i beneficjenta operacji.

Kierunek białoruski i hack-and-leak

UNC1151 wiązano z Białorusią i operacjami szpiegowsko-informacyjnymi. Model hack-and-leak polega na uzyskaniu danych, ich selekcji, publikacji i opatrzeniu narracją. Materiał może zawierać dokumenty prawdziwe, zmienione i sfabrykowane. Weryfikowanie jednego autentycznego pliku nie potwierdza całego pakietu ani interpretacji publikującego.

Odpowiedź wymaga zespołu technicznego, prawnego i komunikacyjnego. Należy ustalić pochodzenie danych, integralność poszczególnych plików, zakres naruszenia, ryzyko dla ludzi i moment publikacji. Nadmierna albo spóźniona reakcja może wzmacniać operację wpływu. Milczenie bez planu pozostawia narrację przeciwnikowi.

Kierunek chiński i wieloletnie rozpoznanie

Publiczne raporty o grupach wiązanych z Chinami często opisują długotrwałe utrzymywanie dostępu, gromadzenie informacji i wykorzystywanie urządzeń sieciowych. Brak efektu destrukcyjnego nie oznacza małej wagi. Dostęp wywiadowczy może służyć poznaniu zależności, danych i procedur, a później zostać wykorzystany przez inną operację.

Wykrycie wymaga danych długoterminowych, znajomości normalnego ruchu administracyjnego i ochrony urządzeń brzegowych. Krótka retencja usuwa możliwość ustalenia pierwszego dostępu. Sama aktualizacja po ujawnieniu podatności może nie usunąć utrwalonego mechanizmu dostępu ani przejętych poświadczeń.

Pre-positioning i brak natychmiastowego skutku

Pre-positioning oznacza uzyskanie lub przygotowanie dostępu, który może zostać użyty dopiero podczas przyszłego kryzysu. Wspólne ostrzeżenia dotyczące Volt Typhoon opisywały długotrwałe bytowanie w infrastrukturze krytycznej i używanie legalnych narzędzi administracyjnych. Celem detekcji nie jest więc wyłącznie znalezienie charakterystycznego malware.

Brak szyfrowania, kradzieży widocznej w krótkim oknie lub zakłócenia procesu nie obniża automatycznie znaczenia dostępu uprzywilejowanego. Analityk bada zasięg rozpoznania, credential stores, konfiguracje połączeń, konta techniczne, możliwość ruchu do OT oraz to, co sprawca mógł uruchomić przy zmianie zamiaru.

Usuwanie takiego dostępu wymaga skoordynowanej rotacji poświadczeń, odbudowy zaufania i obserwacji prób ponownego wejścia. Chaotyczne kasowanie pojedynczego artefaktu może ostrzec operatora i pozostawić inne drogi, dlatego containment powinien mieć plan oraz właściciela decyzji.

Haktywizm, DDoS i pozorna oddolność

Deklaracja nie jest potwierdzeniem skutku

Kanały haktywistyczne publikują listy celów, zrzuty ekranów i deklaracje. Część odzwierciedla rzeczywistą niedostępność, część wykorzystuje awarię niezależną, chwilowy błąd lub spreparowany obraz. Weryfikacja wymaga telemetrii ofiary, pomiarów z wielu punktów, czasu, wolumenu i skutku dla usługi.

Nie należy powtarzać nazw i twierdzeń grupy bez potrzeby. Publiczne przypisywanie jej każdego przestoju dostarcza rozgłosu i może ujawnić, które ataki wywołują największą reakcję. Komunikat organizacji powinien opisywać wpływ, czas, działania i status danych, a atrybucję zostawić do potwierdzenia.

DDoS jako broń dostępności i komunikacji

DDoS przeciąża usługę ruchem lub żądaniami z wielu źródeł. Techniczny skutek może być krótki, ale wybrany czas — święto, wybory, komunikat państwowy — zwiększa wymiar informacyjny. Celem bywa demonstracja zdolności i wytworzenie obrazu chaosu, nie trwałe uszkodzenie.

Odporność obejmuje architekturę rozproszoną, ochronę operatorską, limity, mechanizmy awaryjne, alternatywne kanały komunikacji i ćwiczenia. Miarą nie jest liczba zablokowanych pakietów, lecz utrzymanie funkcji krytycznej, czas degradacji i zdolność komunikowania prawdziwego stanu.

Kolektyw, pośrednik czy przykrycie państwa

Raporty publiczne wskazywały powiązania niektórych prorosyjskich kolektywów z infrastrukturą i interesami państwowymi. Sankcje wobec konkretnych osób albo zbieżność z operacjami służb są istotne, lecz pojęcia „wspierany”, „koordynowany”, „kierowany” i „tożsamy” oznaczają różne twierdzenia.

Ekosystem jest płynny: grupy zmieniają nazwy, tworzą sojusze, kłócą się i przejmują kanały. Liczba marek nie odpowiada liczbie operatorów. Długoterminowa analiza powinna śledzić zachowanie, infrastrukturę, czas aktywności, język, finanse i relacje, zachowując poziom niepewności.

Od włamania do sabotażu

IT i OT mają inne priorytety

System IT przetwarza informację, a OT steruje procesem fizycznym. W OT priorytetem może być bezpieczeństwo ludzi i stabilność procesu, a nie natychmiastowe odłączenie albo aktualizacja. Ten sam ruch sieciowy może mieć inny skutek zależnie od stanu instalacji. Reagowanie wymaga udziału operatora technologii, inżyniera procesu i osoby odpowiedzialnej za bezpieczeństwo fizyczne.

Nie każda obecność w sieci OT jest sabotażem. Trzeba wykazać wpływ na sterowanie, dostępność, parametry albo mechanizmy ochronne. Deklaracja kolektywu i obraz panelu mogą pokazywać dostęp do interfejsu bez kontroli procesu. Z drugiej strony brak awarii nie wyklucza przygotowania lub rozpoznania.

Wodociągi, oczyszczalnie i usługi komunalne

Raport za 2024 r. wskazywał zainteresowanie grup systemami wodno-kanalizacyjnymi i przepompowniami w kilku państwach. Nie dawał podstawy do twierdzenia, że każda wymieniona technika została skutecznie użyta w Polsce. Informacja strategiczna służy do priorytetyzacji ochrony, a nie do ogłaszania niepotwierdzonych incydentów.

Program „Cyberbezpieczne Wodociągi” otrzymał w 2025 r. ponad 590 mln zł. Inwestycja powinna obejmować inwentaryzację aktywów, separację IT/OT, kontrolę zdalnego dostępu, kopie konfiguracji, monitoring, procedury ręczne i ćwiczenie ciągłości. Zakup pojedynczego urządzenia ochronnego bez wiedzy o procesie nie tworzy odporności.

Sabotaż cyfrowy i awaria

Skutek fizyczny może wynikać z działania wrogiego, błędu operatora, wadliwej aktualizacji, awarii komponentu lub ich kombinacji. Dochodzenie nie powinno zaczynać od założenia sabotażu tylko dlatego, że system był połączony z siecią. Potrzebna jest wspólna oś czasu alarmów procesowych, poleceń sterujących, logowań, zmian konfiguracji, pracy urządzeń i czynności personelu.

Zabezpieczenie musi uwzględnić, że sterownik i system nadzorczy mogą nie prowadzić pełnych logów, a restart usuwa dane ulotne. Pierwszeństwo życia i bezpiecznego zatrzymania procesu pozostaje nadrzędne. Dokumentacja reakcji powinna zapisać każdą zmianę wykonaną dla bezpieczeństwa, aby później odróżnić ją od działania sprawcy.

Ransomware, wiper i data extortion

Podobny ekran żądania może przykrywać różne mechanizmy. Ransomware zakłada możliwość odszyfrowania lub przynajmniej wiarygodną obietnicę, wiper ma zniszczyć dane lub zdolność rozruchu, a data extortion może nie szyfrować niczego. Destrukcyjna operacja państwowa może naśladować motyw finansowy, natomiast grupa przestępcza może celowo niszczyć system podczas wymuszenia.

Klasyfikacja wymaga zbadania zmian w plikach i metadanych, kluczy, ścieżki uruchomienia, modyfikacji boot i recovery, zachowania wobec backupów, exfiltration oraz komunikacji żądającej zapłaty. Nazwa pliku i notatka okupu nie rozstrzygają, czy odzyskanie jest technicznie możliwe ani czy wyciek nastąpił.

Przy odbudowie trzeba zachować próbki precursor malware i ślady wcześniejszej trwałości. CISA ostrzega, że wdrożenie ransomware może zasłaniać wcześniejszą aktywność, a sam dostęp bywa sprzedawany innemu operatorowi. Przywrócenie kopii bez usunięcia dostępu może odtworzyć usługę i jednocześnie pozostawić incydent otwarty.

Łańcuch dostaw jako wspólna powierzchnia

Dostawca nie jest „na zewnątrz”

Firma serwisowa może mieć konto uprzywilejowane, tunel zdalny, kopię konfiguracji, dostęp do kodu, klucze podpisu lub dane klientów. Kompromitacja dostawcy omija część zabezpieczeń organizacji, ponieważ ruch pochodzi z zaufanej relacji. Incydenty polskich firm IT, automatyki, usług zaufania i ochrony w latach 2024–2025 pokazały możliwość rozlania skutków na klientów.

Ocena nie może ograniczać się do ankiety przed podpisaniem umowy. Potrzebne są wymagania dotyczące dostępu, logowania, podwykonawców, zgłoszeń, kopii, usuwania danych, testów, prawa audytu, zakończenia współpracy i dowodów wykonania. Krytyczność dostawcy wynika z wpływu na usługę, nie z wielkości jego firmy.

Koncentracja i zależność kaskadowa

Jeden dostawca obsługujący wiele podmiotów tworzy punkt koncentracji. Awaria usługi chmurowej, aktualizacji, DNS, tożsamości albo połączenia telekomunikacyjnego może wyglądać jak wiele niezależnych incydentów. Mapa zależności powinna wskazywać nie tylko kontrahenta bezpośredniego, lecz również kluczowych poddostawców i wspólne komponenty.

Plan ciągłości musi sprawdzać, czy alternatywa rzeczywiście jest niezależna. Dwie usługi różnych marek mogą działać w tym samym regionie chmurowym, korzystać z tego samego dostawcy tożsamości albo łącza. Kopia zapasowa zarządzana tymi samymi poświadczeniami może zostać utracona razem ze środowiskiem produkcyjnym.

Bezpieczeństwo produktu i aktualizacji

Podpisana aktualizacja potwierdza pochodzenie od posiadacza klucza, nie jej bezpieczeństwo. Potrzebne są proces budowy, ochrona kluczy, przegląd zmian, wdrożenie etapowe, możliwość wycofania i monitoring. Organizacja powinna znać wersje komponentów i odbiorców aktualizacji, aby szybko ocenić zasięg.

Nowelizacja KSC z 2026 r. wprost wzmacnia zarządzanie ryzykiem łańcucha dostaw. To obowiązek ciągły: klasyfikacja dostawców, dowody kontroli, zgłaszanie zmian i ćwiczenie scenariusza utraty. Certyfikat może wspierać ocenę, ale nie zastępuje analizy konkretnego użycia i aktualnego ryzyka.

Incydent jako problem kryminalistyczny

Phishing: zachować drogę wiadomości

Wiadomość widoczna w oknie poczty jest końcowym renderem. Do analizy potrzebny jest format natywny z pełnymi nagłówkami, treścią MIME, załącznikami, identyfikatorami i informacją z bramki. Zrzut ekranu nie pokazuje drogi dostarczenia, uwierzytelnienia domeny ani ukrytej wersji odsyłacza. Oryginał należy wyeksportować, obliczyć skrót i opisać sposób pozyskania.

Równolegle zabezpiecza się logi bramki, DNS, proxy, ochrony punktu końcowego, tożsamości i aplikacji chmurowej. Czas kliknięcia trzeba odróżnić od czasu dostarczenia i wykrycia. Jeśli użytkownik podał poświadczenia, badanie obejmuje sesje utworzone przed zmianą hasła, metody MFA, reguły skrzynki i zgody aplikacji. Samo usunięcie wiadomości z innych skrzynek jest działaniem ochronnym, które także powinno zostać zapisane.

DDoS: oddzielić źródło ruchu od operatora

Materiał obejmuje telemetrię dostawcy ochrony, NetFlow, logi zapory i aplikacji, pomiary dostępności oraz konfigurację obowiązującą w chwili zdarzenia. Adresy źródłowe często należą do przejętych urządzeń lub mogą być sfałszowane w określonych protokołach. Lista adresów nie jest listą sprawców.

W raporcie trzeba rozdzielić wolumen, typ żądań, wpływ na zasób, decyzje ochronne i rzeczywistą niedostępność dla użytkowników. Atak może przeciążyć łącze, warstwę pośrednią albo konkretną funkcję aplikacji. Brak odpowiedzi strony z jednego punktu pomiarowego nie ustala miejsca problemu. Zewnętrzne deklaracje grupy zachowuje się z czasem publikacji i adresem kanału, ale nie używa jako jedynego dowodu.

Hack-and-leak: dwa zbiory dowodów

Pierwszy zbiór dotyczy naruszenia: wejścia, konta, danych skopiowanych i sposobu eksfiltracji. Drugi dotyczy publikacji: infrastruktury, czasu, zmian w plikach, narracji i dystrybucji. Nie należy mieszać wniosku, że dokument pochodzi z organizacji, z wnioskiem, że cała opublikowana paczka jest nienaruszona.

Każdy plik ocenia się osobno przez metadane, podpisy, porównanie z egzemplarzem źródłowym i historię w systemie. Paczka może zawierać prawdziwy rdzeń, zmienione strony i dokumenty dołożone. Publiczna odpowiedź powinna chronić osoby, których dane ujawniono; zamieszczenie pełnych przykładów dla „obalenia narracji” może powiększyć szkodę.

Incydent dostawcy: zachować granicę odpowiedzialności

Klient zabezpiecza własne logi połączeń, kont, operacji i skutków, nawet jeśli źródło leży u dostawcy. Dostawca powinien zachować obrazy, logi administracyjne, historię wdrożeń, dostęp podwykonawców i listę klientów dotkniętych wspólnym komponentem. Umowa musi umożliwiać przekazanie danych w czasie przydatnym dla reakcji i postępowania.

Wspólna oś czasu powinna zachować pochodzenie każdego wpisu. Raport dostawcy jest ważny, lecz nie powinien zastępować danych klienta. Jeśli dostawca przekaże wyłącznie podsumowanie, nie da się zweryfikować, czy u danego klienta rzeczywiście użyto przejętego konta, czy tylko istniała możliwość.

OT/ICS: dowód po bezpiecznym stanie procesu

Pierwszy reagujący ustala z operatorem, jakie działanie chroni ludzi i instalację. Dopiero potem planuje utrwalenie danych. Fotografuje stan paneli i urządzeń, zapisuje alarmy, nastawy, tryb pracy, wersje konfiguracji, czasy oraz czynności ręczne. Nie uruchamia skanera ani nie odłącza sterownika bez oceny skutku procesowego.

Oś czasu łączy historię systemu nadzorczego z rejestratorami procesu, kontrolerami, systemem bezpieczeństwa, dostępem zdalnym i dziennikiem zmianowym. Polecenie może pochodzić z legalnego stanowiska przejętego przez sprawcę; wtedy sam adres stacji nie rozstrzyga autora. Odchylenie procesu może z kolei wyprzedzać alarm cyberbezpieczeństwa i stanowić pierwszy sygnał.

Zgłaszanie po NIS2 bez utraty dowodu

Wczesne ostrzeżenie nie jest pełną opinią

Model NIS2 rozdziela szybkie wczesne ostrzeżenie, późniejsze zgłoszenie incydentu i sprawozdanie końcowe. Wczesna informacja ma umożliwić pomoc i ocenę skutków transgranicznych; nie wymaga zakończonej analizy. Organizacja powinna jasno oznaczać fakty, szacunki i elementy nieustalone, zamiast czekać na pozorną pewność.

Ustawa KSC określa kategorie, terminy i kanały właściwe dla podmiotów objętych systemem. Przed użyciem terminu 24 godzin, 72 godzin lub miesiąca trzeba sprawdzić jego przesłanki w aktualnym tekście i datę powzięcia informacji. Zegar może zależeć od uznania zdarzenia za poważny incydent, a nie od chwili pierwszej próby w logu. Wewnętrzna procedura powinna zapisywać decyzję kwalifikacyjną i osobę, która ją zatwierdziła.

Jedno zdarzenie, kilka obowiązków

Naruszenie może równocześnie wymagać zgłoszenia do właściwego CSIRT, organu sektorowego, UODO, kontrahenta, organów ścigania i osób, których dane dotyczą. Każdy reżim ma własny cel i próg. Wysłanie informacji do jednego odbiorcy nie zawsze wykonuje pozostałe obowiązki.

Zespół powinien prowadzić macierz: odbiorca, podstawa, kryterium, termin, zakres, osoba zatwierdzająca i potwierdzenie odbioru. Wersje zgłoszeń zachowuje się w aktach incydentu. Różnice między nimi powinny wynikać z celu i aktualizacji wiedzy, a nie z przypadkowych sprzeczności.

S46 jako kanał, nie archiwum całej sprawy

System S46 wspiera wymianę i realizację obowiązków KSC. Organizacja nadal musi zachować własne dowody, decyzje, konfiguracje i historię działań. Potwierdzenie wysłania nie dowodzi kompletności materiału technicznego ani wykonania środków zaradczych.

Dane przekazywane centralnie powinny być adekwatne i prawidłowo oznaczone. Sekrety, pełne bazy klientów i nieprzefiltrowane obrazy systemów nie powinny być dołączane automatycznie. Jeśli CSIRT potrzebuje rozszerzonego materiału, sposób przekazania, integralność i ograniczenia użycia należy uzgodnić bezpiecznym kanałem.

Od informacji o zagrożeniu do kontroli

Cykl życia informacji

Informacja zaczyna się od obserwacji. Analityk dodaje kontekst, porównuje źródła, ocenia wiarygodność i tworzy hipotezę. Następnie powstaje produkt dla konkretnego odbiorcy: reguła detekcji, ostrzeżenie dla administratora, decyzja kierownika albo trop dla organu ścigania. Ten sam IOC bez kontekstu może być bezużyteczny dla zarządu i zbyt ubogi dla SOC.

Produkt musi mieć czas ważności. Domenę można przejąć lub uwolnić, adres zmienia użytkownika, a legalny plik może mieć ten sam składnik biblioteki co narzędzie sprawcy. Informacja wygasła powinna zostać usunięta z blokady albo oznaczona jako historyczna. Inaczej system gromadzi fałszywe trafienia i znieczula operatorów.

Ocena źródła i treści

Wiarygodna instytucja może przekazać wstępną, niepełną informację, a anonimowe źródło może dostarczyć artefakt możliwy do niezależnego potwierdzenia. Dlatego osobno ocenia się źródło i treść. Komunikat grupy o ataku jest słabym źródłem dla skutku, ale może być dobrym dowodem jej publicznej narracji w danym czasie.

Raport powinien wskazać, czy twierdzenie jest obserwacją własną, informacją partnera, wynikiem narzędzia, oceną analityka czy publiczną atrybucją. Łańcuch cytowań nie tworzy niezależnych potwierdzeń, jeśli wszystkie publikacje powtarzają jeden raport pierwotny.

Reguła detekcji jako produkt testowalny

Każda reguła ma założenie: jakie zachowanie wykrywa, jakie dane są konieczne i jakie legalne czynności mogą wyglądać podobnie. Przed wdrożeniem należy przetestować ją na znanym przykładzie dodatnim i na typowym ruchu własnym. Po wdrożeniu mierzy się trafienia, przeoczenia i koszt analizy.

Aktualizacja reguły powinna być wersjonowana. Gdy incydent ujawnił lukę, zespół odtwarza, czy nowa reguła wykryłaby historyczne dane. Test wsteczny pokazuje zarówno wcześniejsze wystąpienia, jak i skutki uboczne. Samo zapisanie pliku z IOC bez wdrożenia, właściciela i monitorowania nie jest kontrolą.

Ćwiczenia, które ujawniają rzeczywiste zależności

Scenariusz musi wymuszać decyzję

Ćwiczenie nie powinno być prezentacją poprawnych odpowiedzi. Uczestnicy otrzymują niepełne dane, presję czasu i konflikt: izolować system czy utrzymać usługę, informować publicznie czy najpierw potwierdzać, odtwarzać czy zachować stan. Obserwator zapisuje czas, źródło decyzji, brakujące dane i obejścia procedury.

Scenariusze warto łączyć. Przejęcie skrzynki dostawcy może prowadzić do fałszywej aktualizacji, wycieku, DDoS odwracającego uwagę i publikacji dokumentów. Taki model testuje współpracę SOC, IT, OT, prawa, komunikacji, zarządu i ochrony danych, a nie wyłącznie technikę jednego zespołu.

Test komunikacji kryzysowej

Organizacja przygotowuje alternatywną stronę, numery kontaktowe i sposób potwierdzania autentyczności komunikatów. Jeżeli główna domena lub poczta są przejęte, komunikacja z nich może pogłębić incydent. Lista odbiorców oraz dane kontaktowe muszą być dostępne poza głównym systemem.

Komunikat ćwiczebny powinien rozdzielać potwierdzony wpływ, działania, zalecenie dla użytkownika i elementy badane. Nie przypisuje sprawcy przedwcześnie i nie obiecuje braku wycieku bez podstaw. Po ćwiczeniu sprawdza się, czy kierownictwo zaakceptowało komunikat w czasie zgodnym z potrzebą, a nie tylko czy jego język był poprawny.

Dowód wykonania działań naprawczych

Raport po ćwiczeniu nie może kończyć się listą ogólnych zaleceń. Każde ustalenie ma ryzyko, właściciela, termin, sposób weryfikacji i zależności budżetowe. Zamknięcie wymaga dowodu: zmienionej konfiguracji, wyniku testu, protokołu odtworzenia albo zaktualizowanej umowy.

Kolejne ćwiczenie powinno sprawdzić właśnie wcześniejsze słabości. Jeśli zespół nadal korzysta z prywatnych komunikatorów bez ustalonego kanału albo nie zna właściciela usługi, problem jest organizacyjny, nie „brakiem świadomości”. Powtarzalność ustalenia należy raportować kierownictwu jako ryzyko zarządcze.

Operacyjny model odporności

Warstwa pierwsza: znać usługę i właściciela

Organizacja musi wiedzieć, które usługi są krytyczne, kto podejmuje decyzję, jakie systemy je wspierają i od czego zależą. Inwentaryzacja bez właściciela biznesowego staje się listą urządzeń. Analiza wpływu określa dopuszczalny przestój, utratę danych, alternatywny proces i minimalny personel.

Każdy system powinien mieć klasyfikację, właściciela, administratora, zależności, źródła czasu, zakres logowania, plan kopii i procedurę kontaktu. Zmiana architektury musi aktualizować mapę. Bez tego po incydencie zespół nie wie, które odłączenie przerwie usługę krytyczną.

Warstwa druga: tożsamość i dostęp

Największą wartość ma ograniczenie możliwości użycia przejętego konta. Obejmuje odporne MFA, rozdział kont zwykłych i administracyjnych, dostęp czasowy, stacje uprzywilejowane, przegląd uprawnień, ochronę kont serwisowych i natychmiastowe unieważnianie sesji. Dla dostawców dostęp powinien być włączany na czas pracy i rejestrowany.

Logowanie uwierzytelnienia musi zachować użytkownika, urządzenie, źródło, metodę, wynik, identyfikator sesji i czas. Sama informacja „logowanie poprawne” nie wystarcza do rekonstrukcji. Zdarzenia powinny trafiać do miejsca odpornego na zmianę przez administratora badanego systemu.

Warstwa trzecia: ekspozycja i podatności

Organizacja obserwuje własne usługi z perspektywy zewnętrznej, usuwa nieużywane panele, aktualizuje aktywnie wykorzystywane podatności i kontroluje konfigurację. Priorytet wynika z połączenia ekspozycji, dostępności kodu wykorzystującego, znaczenia aktywa i kontroli kompensacyjnych. Sam wynik skanera bez kontekstu może promować głośną, lecz nieosiągalną lukę ponad realne ryzyko.

Po naprawie potrzebny jest test potwierdzający i sprawdzenie, czy przed aktualizacją nie doszło do naruszenia. Brak dalszych alertów nie dowodzi czystości. W przypadku urządzeń brzegowych należy ocenić konta, konfigurację, certyfikaty i mechanizmy trwałości.

Warstwa czwarta: telemetria i detekcja zachowania

IOC jest szybki, ale krótkotrwały. Detekcja zachowania szuka sekwencji: nietypowego logowania, zmiany uprawnień, użycia narzędzia administracyjnego, dostępu do wielu zasobów i transferu danych. Reguła musi mieć właściciela, dane wejściowe, test, próg, wyjątki i procedurę reakcji.

Skuteczność ocenia się przez pokrycie scenariuszy, czas wykrycia, jakość kontekstu, odsetek potwierdzonych zdarzeń i luki telemetrii. Wielka liczba alertów może obniżać bezpieczeństwo, jeśli analitycy nie są w stanie ich ocenić. Wyłączenie hałaśliwej reguły wymaga naprawy, nie ciszy.

Warstwa piąta: reakcja i dowód

Plan określa role, kryteria eskalacji, kanał poza potencjalnie przejętym systemem, decyzję o izolacji, kontakt z CSIRT, UODO, organami ścigania i regulatorem. Ćwiczenie powinno wymuszać konflikt celów: zachowanie usługi, ochronę ludzi, zatrzymanie ataku i zabezpieczenie dowodu.

Zespół reagowania zapisuje źródło każdego artefaktu, czas, metodę eksportu, skrót, osobę i zmiany wykonane w systemie. Materiał ulotny zbiera się proporcjonalnie do ryzyka, zanim restart go usunie. Obraz dysku bez logów chmurowych i tożsamości może nie wyjaśnić zdarzenia.

Warstwa szósta: odtworzenie i uczenie

Odtworzenie nie jest powrotem do tej samej podatnej konfiguracji. Wymaga zaufanego źródła, rotacji poświadczeń, sprawdzenia zależności, kontroli integralności i monitorowania po uruchomieniu. Kryteria zakończenia incydentu powinny być jawne.

Po zdarzeniu organizacja dokumentuje przyczynę techniczną, czynniki organizacyjne, działanie kontroli i opóźnienia. Wniosek „błąd pracownika” jest niepełny, jeśli system pozwalał jednemu kliknięciu ominąć wszystkie warstwy. Działania naprawcze mają właściciela, termin, dowód wykonania i test skuteczności.

Atrybucja i materiał procesowy

Pięć poziomów twierdzenia

Poziom pierwszy opisuje obserwację: plik, logowanie, transfer lub niedostępność. Drugi łączy obserwacje w techniczną kampanię. Trzeci przypisuje infrastrukturę albo konto operatorowi. Czwarty wiąże operatora z grupą. Piąty łączy grupę z państwem lub zleceniodawcą. Raport musi wskazać, do którego poziomu sięga i czego nie ustalono.

Publiczna atrybucja sojusznicza jest ważnym źródłem, ale cel polityczny może dopuszczać inny próg niż wyrok karny. Organ procesowy potrzebuje dowodów możliwych do przedstawienia, zweryfikowania i zakwestionowania. Materiał wywiadowczy może kierować poszukiwaniem, nie zawsze może zostać ujawniony.

Oś czasu i alternatywy

Wspólną oś buduje się z poczty, tożsamości, urządzeń, sieci, chmury, aplikacji, kopii i systemów OT. Każde źródło zachowuje oryginalną strefę oraz przeliczenie do UTC. Dryf zegara zapisuje się jako niepewność, nie koryguje po cichu.

Raport rozważa legalne narzędzie administratora, błąd, automatyzację, działanie wewnętrzne i przejętą infrastrukturę. Cechy wspólne z APT mogą wynikać z kopiowania publicznych technik. Wniosek wzmacnia zestaw niezależnych wskaźników, a nie liczba razy powtórzona ta sama etykieta.

Jak mierzyć odporność bez oszukiwania się

Liczba szkoleń jest miarą aktywności. Lepsze mierniki to odsetek prawidłowych zgłoszeń, czas zgłoszenia, odporność procesu na błędną dyspozycję i zachowanie po szkoleniu. Liczba zablokowanych prób zależy od natężenia ataków. Warto mierzyć udział usług z MFA, czas usunięcia aktywnie wykorzystywanej podatności, kompletność logów i czas izolacji.

Liczba incydentów może wzrosnąć po poprawie detekcji. To nie jest porażka, jeśli maleje czas przebywania sprawcy i skutek. Spadek może być niebezpieczny, gdy wynika z utraty telemetrii lub zniechęcenia do raportowania. Miernik musi mieć mianownik, definicję i właściciela.

Minimalny zestaw obejmuje dostępność usług krytycznych, średni i skrajny czas wykrycia, czas ograniczenia skutku, zakres danych utraconych, odsetek odtworzeń z testowanej kopii, pokrycie kont uprzywilejowanych, kompletność inwentaryzacji, czas reakcji dostawcy i wykonanie działań po incydencie. Wyniki należy dzielić według krytyczności, nie uśredniać awarii portalu informacyjnego z utratą sterowania procesem.

Lista kontrolna dla kierownika i zespołu

  1. Czy wiadomo, które dane pochodzą ze zgłoszeń, incydentów i kampanii?
  2. Czy porównywane lata używają tych samych definicji i zakresu?
  3. Czy liczba ma mianownik: użytkowników, systemów, czasu albo ekspozycji?
  4. Czy spadek zdarzeń nie wynika z utraty telemetrii lub lokalnej obsługi?
  5. Czy podmiot sprawdził status kluczowy lub ważny po nowelizacji KSC?
  6. Czy wpis do Wykazu KSC i korzystanie z S46 mają właściciela i termin?
  7. Czy role CSIRT, regulatora, organu ścigania i administratora są rozdzielone?
  8. Czy plan incydentu zawiera kanał komunikacji poza główną domeną?
  9. Czy MFA chroni konta uprzywilejowane i dostęp dostawców?
  10. Czy po resecie hasła unieważniane są sesje, tokeny i zgody aplikacji?
  11. Czy urządzenia brzegowe są zinwentaryzowane i monitorowane?
  12. Czy naprawa podatności obejmuje poszukiwanie wcześniejszego wykorzystania?
  13. Czy IOC ma źródło, datę, kontekst i termin ponownej oceny?
  14. Czy reguły zachowania są testowane na danych dodatnich i ujemnych?
  15. Czy dostawcy mają najmniejsze uprawnienia i rejestrowany dostęp czasowy?
  16. Czy znane są poddostawcy i punkty wspólnej zależności?
  17. Czy kopia zapasowa ma niezależne poświadczenia i przechodzi test odtworzenia?
  18. Czy OT ma plan bezpiecznego działania ręcznego lub zdegradowanego?
  19. Czy reakcja na hack-and-leak łączy analizę plików i komunikację?
  20. Czy deklaracja grupy jest oddzielona od potwierdzonego skutku?
  21. Czy atrybucja wskazuje poziom, źródło, datę i alternatywy?
  22. Czy oś czasu zachowuje strefy, dryf i niepewność?
  23. Czy materiał dowodowy ma pochodzenie, skrót i zapis zmian?
  24. Czy odtworzenie usuwa przyczynę, a nie tylko objaw?
  25. Czy działania naprawcze mają termin, właściciela i test skuteczności?

Wnioski

Ewolucja zagrożeń wobec Polski nie jest prostą drogą od prymitywnego phishingu do technicznie doskonałego sabotażu. Socjotechnika pozostaje skuteczna, ale łączy się z przejęciem tożsamości, długotrwałym dostępem, wyciekiem, dezinformacją, presją DDoS i ryzykiem dla procesów fizycznych. Granica między cyberprzestępczością, wywiadem, haktywizmem i operacją wpływu może dotyczyć celu oraz zleceniodawcy, a nie użytego narzędzia.

Raport za 2024 r. dobrze pokazuje mechanizmy, lecz jego spadkowych liczb nie można zamienić w tezę o malejącym zagrożeniu. Dane za 2025 r. przyniosły wzrost, a od kwietnia 2026 r. obowiązuje szerszy KSC wdrażający NIS2. Aktualna odporność wymaga więc równoczesnego zarządzania tożsamością, ekspozycją, telemetrią, łańcuchem dostaw, ciągłością i dowodem.

Najważniejszym produktem CSIRT nie jest pojedyncza liczba ani lista nazw grup. Jest nim zdolność przekształcenia jednego incydentu w ostrzeżenie, detekcję, korektę i odporność wielu podmiotów. Jakość tego obiegu zależy od prawidłowych definicji, szybkiego zgłaszania, danych możliwych do zweryfikowania i języka, który nie udaje pewności większej niż dowody.

Źródła i dalsza lektura

Zastrzeżenie

Tekst nie zastępuje obowiązków ustawowych, komunikatu właściwego CSIRT, planu reagowania, instrukcji OT ani opinii biegłego. Zakres raportowania i właściwość zależą od podmiotu, sektora, rodzaju incydentu i aktualnego prawa. W realnym zdarzeniu priorytetem jest bezpieczeństwo ludzi, ograniczenie skutku, właściwe zgłoszenie i zachowanie materiału bez utrudniania reakcji.