Při incidentu potřebujete současně omezovat škodu a připravovat informace pro hlášení. Doporučujeme hned rozdělit technické řešení, evidenci a rozhodování, aby čekání na jednoho člověka nezastavilo celý postup.
Následující pracovní postup využijete při přípravě interního nácviku i skutečného podání. Vlastní organizaci práce doporučujeme; podmínky zákonného hlášení uvádíme s oporou v zákoně o kybernetické bezpečnosti, zkráceně ZoKB.
Nejprve ověřte působnost
U každé regulované služby ověřte zahájení ohlašovací povinnosti, nejpozději nastává rok od doručení rozhodnutí o registraci.
Pro dříve regulované subjekty platí přechodná pravidla; nový způsob hlášení používají od doručení rozhodnutí o registraci.
U vybraných digitálních služeb zákon stanoví zvláštní pravidla pro vymezení hlášených incidentů. Patří mezi ně například cloudové a řízené služby.
Následující rozdělení proto používejte pro obecný postup podle zákona. Poskytujete vlastní regulovanou digitální službu? Nechte předem ověřit také zvláštní úpravu pro tuto službu.
Rozhodněte o hlášení
V obou režimech se posuzuje projev incidentu ve stanoveném rozsahu a původ v kybernetickém prostoru.
Další podmínkou je, že do 24 hodin po zjištění nelze vyloučit úmyslné zavinění.
Vyšší režim takové incidenty hlásí Národnímu úřadu pro kybernetickou a informační bezpečnost, dále NÚKIB.
Nižší režim navíc posuzuje významný dopad na regulovanou službu a hlásí Národnímu CERT, národnímu týmu pro koordinaci incidentů.
Závažné narušení, finanční ztráty či značná újma jiným osobám mohou být skutečné i potenciální.
Nižší režim stanovuje únosnou míru újmy a oblasti posouzení významnosti. Významný dopad vyžaduje překročení této míry a současně významnost posuzované oblasti.
Doporučujeme zaznamenat podklady i odůvodnění rozhodnutí, včetně nejasností. Posouzení aktualizujte při nových zjištěních a oddělte potvrzený dopad od odhadu dalšího vývoje.
Založte jeden záznam
Zapište čas zjištění, dotčenou službu, pozorované projevy a osobu, která informaci předala. Čas doplňte pásmem, aby si technik a vedení nevykládali stejný údaj odlišně.
Přidejte čas jednotlivých zásahů a odkazy na uložené podklady. Do pracovního záznamu nevkládejte hesla ani celé citlivé databáze, pokud pro popis situace stačí jejich identifikace.
Určete člověka, který informace sjednocuje, a jeho zástupce. Správce dodává technická zjištění, odpovědná osoba posuzuje hlášení a vedení rozhoduje o potřebných zdrojích.
Toto rozdělení je naše doporučení pro organizaci práce. Ještě před incidentem ověřte, že pověření lidé skutečně mohou podání připravit a odeslat.
Připravte prvotní hlášení
Prvotní hlášení předkládáte bez zbytečného odkladu, nejpozději do 24 hodin po zjištění incidentu.
Obsahuje identifikaci poskytovatele, základní údaje o incidentu a úsudek o nezákonném zásahu nebo možném přeshraničním dopadu.
Pro pracovní přípravu doporučujeme ověřit následující podklady:
- Které službě incident brání ve fungování a jak se to projevuje.
- Co o začátku a rozsahu víte a co teprve prověřujete.
- Která aktiva, informace a skupiny uživatelů mohou být dotčeny.
- Jaké zásahy už proběhly a kdo koordinuje další řešení.
- Zda existuje souvislost se službou nebo příjemci v zahraničí.
Pište stručně a rozlišujte fakta, odhady a neznámé údaje. Nečekejte na konečný technický rozbor, prvotní podání připravujte souběžně s prověřováním.
Použijte správný kanál
Hlášení se podává prostřednictvím Portálu NÚKIB.
Při nemožnosti využít portál použije vyšší režim určený e-mail nebo datovou schránku NÚKIB, nižší režim odpovídající kanál Národního CERT.
Aktuální kontakty si předem ověřte a uložte také mimo běžné pracovní systémy. Uchovejte odeslanou verzi, čas podání a dostupné potvrzení doručení.
Při náhradním podání zaznamenejte také důvod, proč portál nebylo možné využít. Telefonické řešení situace považujte za samostatnou komunikaci, vedle které hlídáte samotné podání.
Naplánujte další zprávy
Ve vyšším režimu NÚKIB do 24 hodin po nahlášení sdělí, zda má incident významný dopad na kybernetický prostor státu.
Další kroky se týkají tohoto významného dopadu nebo významného dopadu na regulovanou službu v nižším režimu.
| Podání | Nejzazší termín |
|---|---|
| Oznámení s aktualizací, posouzením, dopadem a dostupnými indikátory kompromitace | Bez zbytečného odkladu, do 72 hodin po zjištění. |
| Oznámení u služeb vytvářejících důvěru | Do 24 hodin po zjištění. |
| Průběžná zpráva o podstatných změnách | Na výzvu NÚKIB nebo Národního CERT. |
| Závěrečná zpráva | Do 30 dnů od předložení oznámení. |
Trvá-li incident po této lhůtě, předložíte bez zbytečného odkladu průběžnou zprávu. Závěrečná následuje do 30 dnů od vyřešení.
Vyzkoušejte předání mezi lidmi
Při nácviku nechte kolegu převzít rozepsaný záznam bez ústního vysvětlování. Ověřte, zda pozná další termín, odpovědnou osobu a dosud nepotvrzené informace.
Seznam zjištěných mezer převeďte na úkoly s termínem a vlastníkem. S přípravou a nácvikem Vám pomůžeme v rámci řízení bezpečnosti.
Z čeho vycházíme
Text shrnuje platné předpisy pro rychlou orientaci. Rozhoduje jejich úplné znění.
