lista kontrolna pyta, jak reagujemy na atak ransomware

Ransomware mieści się w obsłudze incydentów, a nie tylko w ciągłości biznesowej

Pytanie o ransomware zwykle testuje twoją procedurę reagowania, a nie twoją technikę. Klienci chcą zobaczyć, że istnieje ustalony proces: wykrycie, zawieranie, przywracanie i powiadomienie właściwych stron. To dokładnie procedura obsługi incydentów bezpieczeństwa z artykułu 21 ust. 2 lit. b dyrektywy NIS2 — jeśli opisałeś tę procedurę, użyj tego tekstu tutaj, a nie osobnego akapitu dotyczącego ransomware'u. Oddzielna polityka ransomware'u nie jest zatem wymagana; procedura incydentów, która wymienia ransomware'a jako scenariusz, jest na ogół wystarczająca.

To, co jest często pytane osobno, to część przywracania: czy możesz ponownie uruchomić usługę bez płacenia okupu. To należy do kopii zapasowych i udogodnień awaryjnych do przywrócenia świadczenia usług — punkt c tej samej listy, ciągłość biznesowa i zarządzanie kryzysowe. Jeśli nie masz niedawno przetestowanego przywracania z kopii zapasowej, odpowiedź na scenariusz ransomware'u jest faktycznie słaba, nawet jeśli twój proces incydentów jest poprawny na papierze. Odpowiedz na tę część dopiero, gdy wiesz, czy ostatni test przywracania został wykonany i kiedy.

Dokładne lokalizacje: artykuł 21 ust. 2, lit. b i c

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia dziesięć środków, które musi podjąć podmiot; lit. b to obsługa incydentów, lit. c to ciągłość biznesowa w tym zarządzanie kopiami zapasowymi i odzyskiwanie po awarii. Atak ransomware'u dotyczy obu: wykrycie i reagowanie należą do punktu b, przywrócenie bez płacenia napastnikowi należy do punktu c. W Ustawie o Cyberbezpieczeństwie — polskiej transpozycji dyrektywy NIS2, która wchodzi w życie 15 sierpnia 2026 — te obowiązki powracają dla podmiotów podlegających ustawie; w razie wątpliwości sprawdź, czy przedsiębiorstwo podlega dyrektywnie NIS2 lub jej krajowej implementacjigdyż to określa, czy jest to obowiązek, czy tylko oczekiwanie klienta. Jeśli pracujesz z ISO 27001, odpowiednik znajduje się w Załączniku A: A.5.24 do A.5.26 dla zarządzania incydentami, A.5.29 i A.5.30 dla ciągłości i odzyskiwania po awarii. Jeśli żadne z nich nie jest formalnie udokumentowane, najtrudniejsza odpowiedź to to, że masz nieformalne podejście i brak udokumentowanej procedury — to inna odpowiedź niż "tak", i warto utrzymać to rozróżnienie.