To z kolei rodzi pytanie o plan ciągłości działania organizacji w sytuacji kryzysowej. Ten aspekt jest istotny dla dziesiątek tysięcy firm i instytucji w Polsce, także z uwagi na wymogi ustawy KSC. Choć termin wdrożenia obowiązków w tym obszarze przypada dopiero kwiecień przyszłego roku, to nie powinno odkładać się tej sprawy na później.

Eksperci Stormshield i DAGMA Bezpieczeństwo IT wskazują na istotne aspekty tworzenia planów.

Odporność na atak, odporność na chaos

Podatności php2Shell (CVE-2026-109618 i CVE-2026-109619), o których w ostatnich dniach było szczególnie głośno, umożliwiały przestępcom przejęcie kontroli nad serwerami, kradzież wrażliwych danych, instalację złośliwego oprogramowania lub dostęp do infrastruktury sieciowej organizacji.

W ocenie ekspertów, obecny incydent jest bardzo dobrym przykładem pokazującym, że organizacje muszą być przygotowane nie tylko na ataki, lecz również skutki podejmowanych w ich następstwie decyzji.

Jak podkreśla Piotr Zielaskiewicz z DAGMA Bezpieczeństwo IT: „Widzimy jak na dłoni, że inwestycje w cyberbezpieczeństwo mają wymiar nie tylko techniczny, lecz także operacyjny i biznesowy. Konieczność wyłączenia serwisu w cyfrowym świecie przekłada się na niemożność świadczenia usług, a to może skutkować utratą przychodów”.

W ostatnich dniach w takiej sytuacji znalazła się niejedna firma. By minimalizować negatywne dla organizacji skutki podobnych sytuacji niezbędne jest opracowanie planu ciągłości działania organizacji w przypadku kryzysu.

Plan ciągłości działania – na co zwrócić uwagę

W opinii ekspertów „Plan ciągłości działania” powinien określać nie tylko sposób reagowania na incydent, lecz także procedury utrzymania procesów biznesowych w okresie ograniczonej dostępności systemów lub ich przywrócenia.

Tworzenie planów ciągłości uwzględnia wskaźniki RTO (Recovery Time Objective) i RPO (Recovery Point Objective). Określają one, jak szybko (z biznesowego punktu widzenia) organizacja musi wznowić działanie usług oraz z jakiego okresu można utracić dane, by incydent w minimalnym stopniu wpłynął na jej funkcjonowanie.

Zdaniem Aleksandra Kostucha, inżyniera Stormshield : „Określenie oraz uzasadnienie wartości wskaźników RTO i RPO dla kluczowych usług jest jednym z podstawowych elementów planu ciągłości działania i odtwarzania po awarii. Jednocześnie na rzeczywisty czas przywrócenia normalnego trybu działania organizacji po incydencie wpływają nie tylko procedury. Równie ważne pozostają technologie i produkty bezpieczeństwa tworzące jej system cyberbezpieczeństwa”.

Kluczowy dla zapewnienia funkcjonowania organizacji pozostaje backup aplikacji, baz danych i konfiguracji, które co ważne, powinny być przechowywane poza serwerem.

Zasadne pozostają testy procedur i rozwiązań opracowanych na wypadek sytuacji kryzysowej, które pozwalają ocenić, ile czasu teoretycznie zajmie przywracanie systemu.

Co więcej, także organizacje, których infrastruktura ostatecznie nie jest bezpośrednio podatna na zagrożenia związane z określonym incydentem, powinny posiadać procedury umożliwiające szybką ocenę wpływu nowo ujawnionych zagrożeń oraz podjęcie działań zapobiegawczych.

„Takie podejście pozwala ograniczyć ryzyko chaosu organizacyjnego w sytuacji kryzysowej, gdy wiadomo już, że pojawiło się jakieś zagrożenie, ale jeszcze nie wiemy, czy dotyczy nas ono bezpośrednio” ocenia Piotr Zielaskiewicz.

Wyzwanie istotne jest także w kontekście ustawy KSC, gdyż ten znowelizowany wiosną akt prawny (obowiązuje od kwietnia br.) nakłada na podmioty kluczowe i ważne obowiązki związane m.in.: z zarządzaniem incydentami, zarządzaniem kryzysowym i zapewnieniem ciągłości działania.

W praktyce oznacza to, że organizacja powinna być przygotowana na sytuację, w której dla ochrony poufności, integralności lub dostępności konieczne będzie czasowe wyłączenie systemu internetowego. Jednak, „w kontekście problemów, jakie przyniosła nowelizacja ustawy KSC, gdy mimo intensywnej dyskusji publicznej na ten temat, wiele podmiotów nie było świadomych faktu, że wymogi obejmą równie je, pokuszę się o tezę, że bieżący incydent stawia wiele z nich w sytuacji, w której muszą podjąć działania w sposób określany przez wojskowych jako „rozpoznaniem bojem” mówi Piotr Zielaskiewicz. „Po prostu nie mają czasu, na zbyt długie analizy, jak się do tego wyzwania zabrać” dodaje.

Nie ma wątpliwości, że w przyszłości pojawią się inne podatności, o których niekoniecznie dowiemy się od razu, a które mogą doprowadzić do sytuacji kryzysowej.

„Brak planu spowoduje chaos i najpewniej, zdecydowanie większe straty finansowe. Dlatego, choć termin wdrożenia obowiązków w tym obszarze przypada dopiero na 3 kwietnia 2027 roku, to incydent PHP powinien być impulsem by nie odkładać tej sprawy na później. A wedle najnowszych danych obowiązki dotyczą nawet 70 tys. podmiotów” podsumowuje ekspert.

Uczestnicząc w bezpłatnym webinarze możesz sprawdzić Czy Twoja firma przetrwa 48 godzin po cyberataku? - wydarzenia - DAGMA Bezpieczeństwo IT. Wydarzenie odbędzie się 18 listopada 2026 roku.

Materiał Promocyjny