Author: Sylwia Czub-Kiełczewska

FORMULARZ OCENY I KLASYFIKACJI INCYDENTU CYBERBEZPIECZEŃSTWA

Data i godzina wykrycia: .....................................…
Data i godzina rozpoczęcia zdarzenia, jeżeli znana: ........................................
Osoba/zespół dokonujący oceny: ........................................
System/usługa, której dotyczy zdarzenie: ........................................
Data i godzina dokonania oceny: .....................................…
Wersja oceny: [  ] wstępna [  ] aktualizacja [  ] końcowa
Wstępna kwalifikacja zdarzenia
Pytanie | TAK | NIE | Nie ustalono | Uzasadnienie / dowody
Czy zdarzenie naruszyło dostępność danych lub usług? | [  ] | [  ] | [  ] |
Czy zdarzenie naruszyło autentyczność danych lub usług? | [  ] | [  ] | [  ] |
Czy zdarzenie naruszyło integralność danych lub usług? | [  ] | [  ] | [  ] |
Czy zdarzenie naruszyło poufność danych? | [  ] | [  ] | [  ] |
Czy zdarzenie wpłynęło na świadczenie usługi? | [  ] | [  ] | [  ] |

Wynik oceny wstępnej:
[  ] zdarzenie niebędące incydentem
[  ] incydent
[  ] brak wystarczających informacji – konieczna dalsza analiza

Weryfikacja progów prawnych uznania incydentu za poważny
Przed przystąpieniem do punktowej oceny dotkliwości incydentu należy każdorazowo zweryfikować, czy incydent spełnia próg uznania incydentu za poważny określony w aktualnie obowiązujących przepisach prawa, w szczególności w rozporządzeniu Rady Ministrów w sprawie progów uznania incydentu za poważny. Weryfikacji należy dokonać z uwzględnieniem sektora, podsektora, rodzaju podmiotu oraz rodzaju świadczonej usługi, których dotyczy incydent. Nie należy opierać kwalifikacji na progach zapamiętanych, pochodzących z wcześniejszych wersji przepisów ani dotyczących innego sektora lub rodzaju usługi.
Wynik weryfikacji | Sposób dalszego postępowania
[  ] Próg prawny został spełniony | Incydent należy zakwalifikować jako incydent poważny. Wynik późniejszej punktowej oceny dotkliwości nie może prowadzić do obniżenia tej kwalifikacji. Należy uruchomić procedurę obsługi incydentu poważnego, w tym zweryfikować i wykonać obowiązki zgłoszeniowe w terminach wynikających z KSC. Punktową ocenę można przeprowadzić dodatkowo w celach operacyjnych, w szczególności dla ustalenia priorytetu reakcji, skali eskalacji i udokumentowania skutków incydentu.
[  ] Próg prawny nie został spełniony | Niespełnienie progu nie kończy oceny zdarzenia. Należy przejść do dalszej oceny zgodnie z niniejszym formularzem, w tym przeprowadzić punktową ocenę dotkliwości oraz zweryfikować pozostałe obowiązki prawne i organizacyjne.
[  ] Nie można ustalić, czy próg został spełniony | Nie należy przyjmować, że próg nie został spełniony. Należy oznaczyć wynik jako „nie ustalono”, wskazać brakujące informacje, podjąć działania zmierzające do ich uzyskania oraz wyznaczyć termin ponownej weryfikacji. Do czasu uzyskania wystarczających informacji incydent powinien podlegać dalszemu monitorowaniu i ocenie.
Zasada nadrzędności kwalifikacji prawnej: punktowa ocena dotkliwości przewidziana w dalszej części formularza ma charakter pomocniczy i organizacyjny. Nie zastępuje oceny wymaganej przepisami prawa oraz nie może prowadzić do zakwalifikowania jako niepoważnego incydentu, który spełnia obowiązujący próg prawny uznania incydentu za poważny.
Punktowa ocena dotkliwości incydentu

Kryterium

Punkty 
NU/ 0–3*

Uzasadnienie oceny

Wpływ na dostępność i ciągłość usługi | |
Skala dotkniętych odbiorców/użytkowników | |
Czas trwania lub przewidywany czas zakłócenia | |
Wpływ na poufność, integralność lub autentyczność informacji | |
Skutki finansowe dla organizacji | |
Szkody dla osób fizycznych lub prawnych | |
Zasięg geograficzny incydentu | |
Krytyczność dotkniętego systemu lub usługi | |
ŁĄCZNA LICZBA PUNKTÓW* | ___ / 24 |
*Zasada dotycząca niepełnych informacji: jeżeli w co najmniej jednym kryterium zastosowano oznaczenie „NU – nie ustalono”, łączny wynik punktowy ma charakter tymczasowy. Należy wskazać brakujące informacje, podjąć działania w celu ich uzyskania oraz określić termin ponownej oceny. Po uzyskaniu nowych informacji należy zaktualizować punktację i kwalifikację incydentu.
Legenda
Przy każdym kryterium należy wybrać jedną z poniższych ocen:
Punkty | Poziom | Jak dokonać oceny
NU | Nie ustalono | Jeżeli brakuje informacji pozwalających na wybór punktacji, należy wpisać „NU – nie ustalono”, uzupełnić brakujące informacje i ponownie przeprowadzić ocenę.
0 | Brak wpływu | Incydent nie wywołał i według dostępnych informacji nie powinien wywołać negatywnych skutków w ocenianym obszarze.
1 | Mały wpływ | Skutki są niewielkie, lokalne lub krótkotrwałe i mogą zostać usunięte w ramach standardowych działań operacyjnych.
2 | Istotny wpływ | Skutki wyraźnie wpływają lub mogą wpłynąć na działalność, usługę, odbiorców albo bezpieczeństwo informacji i wymagają dodatkowych działań lub eskalacji.
3 | Poważny wpływ | Skutki są lub mogą być rozległe, długotrwałe albo poważnie wpływają na świadczenie usługi, odbiorców, organizację lub bezpieczeństwo informacji.

Interpretacja wyniku
Liczba punktów | Poziom dotkliwości | Postępowanie
0–6 | Niski | Standardowa obsługa i udokumentowanie incydentu.
7–12 | Umiarkowany | Wymagana analiza, monitorowanie skutków oraz weryfikacja potrzeby eskalacji.
13–18 | Wysoki | Wymagana niezwłoczna eskalacja do osoby lub zespołu odpowiedzialnego za cyberbezpieczeństwo oraz zwiększony priorytet obsługi.
19–24 | Krytyczny | Wymagana natychmiastowa eskalacja i zastosowanie najwyższego przewidzianego w organizacji priorytetu obsługi incydentu.
Ostateczna kwalifikacja
Wynik końcowy | Ocena
Wynik punktowy | ___ pkt

Poziom dotkliwości

[  ] niski 
[  ] umiarkowany 
[  ] wysoki 
[  ] krytyczny

Próg prawny incydentu poważnego

[  ] spełniony 
[  ] niespełniony 
[  ] nie ustalono

Kwalifikacja

[  ] zdarzenie niebędące incydentem
[  ] incydent 
[  ] incydent poważny

Wymagana eskalacja wewnętrzna | [  ] tak      [  ] nie
Wymagane zgłoszenie na podstawie KSC | [  ] tak      [  ] nie       [  ] do ustalenia
Czy incydent obejmuje naruszenie ochrony danych osobowych? | [  ] tak      [  ] nie       [  ] do ustalenia
Uruchomiono odrębną procedurę oceny naruszenia ochrony danych osobowych | [  ] tak      [  ] nie       [  ] nie dotyczy
Inne obowiązki sektorowe/umowne | [  ] tak      [  ] nie       [  ] do ustalenia

Ponowna ocena

[  ] nie 
[  ] tak – termin:

Osoba zatwierdzająca |
Data i godzina |