Bezpečnostní incidenty
Stalo se to. Co teď?
Únik dat, ransomware, podezřelý pohyb v síti. Nejdřív zavolejte – první konzultace po telefonu je zdarma a může rozhodnout o tom, co se podaří zachránit a zjistit.
První hodiny rozhodují
Digitální stopy jsou křehké a prvních pár rozhodnutí určí, co půjde zachránit. Než cokoli uděláte, projděte si dva seznamy – a zavolejte nám.
Udělejte hned
- Pokud je to bezpečné, izolujte zasažená zařízení od sítě – kabel, Wi‑Fi, VPN
- Poznamenejte si časy: co se kdy stalo a kdo co udělal
- Poznamenejte si, které systémy, účty nebo data jsou zasažené a co je stále dostupné
- Ochraňte zálohy před dalším přístupem nebo přepisem
- Pro koordinaci použijte telefon nebo jiný nezávislý kanál
- Určete jednu osobu, která bude incident koordinovat
Čeho se vyvarovat
- Nevypínejte ani nerestartujte zařízení bez konzultace
- Nepřeinstalovávejte systémy a „nečistěte“ je antivirem
- Nemažte podezřelé soubory, e-maily ani účty
- Neprovádějte neřízené zásahy do napadených systémů
- Neřešte incident přes firemní e-mail nebo chat, pokud může být kompromitovaný
- Neodkládejte řešení incidentu – logy a další stopy se mohou časem přepsat nebo ztratit
Lhůty, které vám mohou běžet
Podle typu organizace a incidentu může vzniknout oznamovací povinnost například vůči NÚKIB, ÚOOÚ nebo jinému regulátorovi. Proto si přesně poznamenejte čas zjištění incidentu a právní povinnosti vyhodnoťte co nejdříve.
Konkrétní povinnosti závisí na charakteru incidentu a postavení organizace.
Jak zásah probíhá
01
Triage a první instrukce
Zjistíme, co se děje, jak závažná je situace a co je potřeba udělat během prvních minut.
02
Omezení dopadu a zajištění stop
Pomůžeme izolovat zasažené systémy, zabránit dalším škodám a současně zachovat důležité digitální stopy.
03
Analýza a odstranění příčiny
Zjistíme, kudy útočník pronikl, jaké systémy a data mohl zasáhnout, zda má stále přístup a co je potřeba odstranit nebo změnit.
04
Obnova a závěry
Navrhneme bezpečný postup návratu do provozu a připravíme srozumitelné závěry spolu s návrhy vhodných opatření.
Časté otázky v prvních hodinách
Máme napadené počítače vypnout?
Obvykle ne bez bližší konzultace. Pokud je to bezpečné, je lepší zařízení izolovat od sítě a ponechat je ve stavu, ve kterém byla událost zjištěna. V některých situacích ale může mít přednost okamžité zastavení škody. Zavolejte nám a podle situace doporučíme další postup.
Komu musíme incident hlásit?
Záleží na typu organizace a incidentu. Může vzniknout povinnost oznámení podle zákona o kybernetické bezpečnosti, GDPR nebo dalších předpisů. Pomůžeme určit, které povinnosti je potřeba řešit a jaké informace je nutné zachovat.
Máme zaplatit výkupné?
Rozhodnutí o výkupném není jen technická otázka. Je potřeba posoudit dostupnost záloh, rozsah škody, riziko dalšího vydírání, právní a sankční omezení i podmínky případného pojištění. Než začnete s útočníkem komunikovat nebo provedete platbu, doporučujeme situaci odborně a právně vyhodnotit.
Co si připravit, než zavoláte?
Stačí základní informace: kdy jste incident zjistili, co se děje, které systémy mohou být zasažené a jaké kroky už byly provedeny.
Přijedete k nám, nebo pracujete vzdáleně?
Podle typu incidentu. První triáž můžeme zvládnout vzdáleně, správné zajištění zařízení a některé forenzní úkony ale mohou vyžadovat zásah na místě.
Nečekejte na incident
Pohotovostní smlouva
Při incidentu není čas řešit smlouvy, přístupy ani kontakty. Proto dává smysl připravit vše předem.
Garantovaná dostupnost
Volejte kdykoli – reagujeme ve smluvně garantované době. Předem víte, kdo je na druhé straně telefonu a jak bude zásah probíhat.
Vše podepsáno předem
NDA, smluvní rámec, přístupy i kontakty jsou domluvené předem – při incidentu se neztrácí čas vyjednáváním a podpisy.
Forenzní připravenost
Nastavíme logování, retenci a uchovávání důležitých stop tak, aby bylo při incidentu možné rychle zjistit jeho rozsah a průběh.
Nevíte, jestli je to případ pro nás?
Zavolejte – první konzultace je zdarma, důvěrná a k ničemu nezavazuje.