Obsługa incydentu

Obsługa incydentu to zorganizowany zestaw czynności służących rozpoznaniu incydentu, ustaleniu jego charakteru oraz podjęciu odpowiedniej reakcji. W rozumieniu ustawy „Krajowy system cyberbezpieczeństwa” pojęcie obejmuje cały przebieg postępowania, od uzyskania informacji o zdarzeniu aż do działań zmierzających do usunięcia problemu i zmniejszenia jego następstw.

W ramach obsługi incydentu można wyróżnić kilka powiązanych elementów:

• wykrycie zdarzenia, czyli zauważenie sygnałów wskazujących, że mogło dojść do incydentu;
• zarejestrowanie informacji o nim, aby zapewnić możliwość dalszego śledzenia sprawy i odtworzenia podjętych działań;
• analizę, polegającą na zebraniu i ocenie dostępnych danych;
• sklasyfikowanie incydentu, czyli przypisanie go do odpowiedniej kategorii;
• ustalenie priorytetu, które pozwala ocenić pilność reakcji i znaczenie zdarzenia;
• podjęcie działań naprawczych oraz ograniczających skutki incydentu.

Definicja pokazuje, że obsługa incydentu nie oznacza wyłącznie usunięcia awarii lub pojedynczego zagrożenia. Jest procesem obejmującym zarówno czynności rozpoznawcze i organizacyjne, jak i praktyczną reakcję na incydent. Ważne jest nie tylko ustalenie, co się wydarzyło, lecz także odpowiednie uporządkowanie informacji, wybór kolejności działań i ograniczenie szkód.

W ustawie pojęcie to wyznacza zakres działań podejmowanych w związku z incydentami wpływającymi na cyberbezpieczeństwo. Ma również znaczenie praktyczne, ponieważ porządkuje sposób reagowania i ułatwia ocenę, czy podjęte czynności obejmowały wszystkie istotne etapy. Dzięki temu obsługa incydentu może prowadzić do szybszego rozpoznania zagrożenia, właściwego ukierunkowania reakcji oraz ograniczenia jego dalszego wpływu. Terminem tym określa się więc nie pojedynczą czynność, ale spójny proces, którego celem jest możliwie skuteczne opanowanie incydentu i zmniejszenie jego konsekwencji.