Incydent w firmie ubezpieczeniowej: plan reakcji 0-72 h

Jeśli to dzieje się teraz, zacznij od sekcji 1. Oprócz zatrzymania ataku trzeba szybko ustalić, czyich danych dotyczy incydent i jakie zgłoszenia obowiązują.

Audyt wykonuje osobiście Radek Rzążewski. Ostatnia aktualizacja: 19 października 2026 r.

Spis treści

1. Pierwsze godziny: zatrzymaj szkody i zbierz ślady

W pierwszych godzinach liczą się szybkość i porządek. Zacznij od podziału zadań.

Co robi osoba kierująca reakcją

• Wyznacz koordynatora i przypisz role: informatyk, osoba od ochrony danych lub prawnik, osoba odpowiedzialna za kontakt z klientami. Załóż bezpieczny kanał kontaktu poza przejętą pocztą.
• Włącz dodatkowe potwierdzanie logowania (MFA) tam, gdzie go jeszcze nie ma, i zmień hasła.

Co robi informatyk

• Odłącza zagrożone systemy od dostępu zewnętrznego (VPN, RDP, połączenia API), blokuje podejrzane konta i wstrzymuje integracje, przez które mogą wyciekać dane.
• Wyłącza kasowanie starych logów i zachowuje pełne logi (poczta, serwer pośredniczący, ochrona komputerów) oraz migawki systemów.
• Blokuje reguły przekierowywania poczty i aktualizuje program ochronny na komputerach.
• Ustala wstępnie, co wyciekło (dane osobowe, medyczne, finansowe), ilu klientów dotyczy incydent i które systemy dotknięto.
• Przygotowuje odtwarzanie: ustala, ile danych i czasu firma może stracić (RPO i RTO), przygotowuje czyste środowisko i sprawdza kopie, najlepiej odłączone od sieci lub niemodyfikowalne.

2. Zgłoszenia i informowanie

Po wstępnej ocenie ryzyka przygotuj zgłoszenia i informacje:

• UODO: RODO wymaga zgłoszenia naruszenia do UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. Zgłoszenia nie trzeba składać, gdy jest mało prawdopodobne, że naruszenie spowoduje ryzyko dla osób, których dane dotyczą. W razie wątpliwości skonsultuj to z inspektorem ochrony danych lub prawnikiem. Zgłoszenie obejmuje opis zdarzenia, rodzaje danych, skalę, skutki, podjęte środki oraz dane kontaktowe inspektora ochrony danych lub osoby odpowiedzialnej.
• KNF: jeżeli firma podlega nadzorowi KNF, sprawdź w wewnętrznych procedurach i u osoby odpowiedzialnej za zgodność z przepisami, jakie zgłoszenia obowiązują w tej sytuacji.
• Klienci: napisz jasno, jakie dane mogły wyciec, jakie mogą być konsekwencje i jak się chronić (zmiana haseł, kontrola rachunków). Podaj, gdzie szukać pomocy (infolinia, e-mail).
• Partnerzy i dostawcy: jeśli incydent może dotyczyć połączeń między firmami, poinformuj ich o środkach zaradczych i działaniach, które muszą wykonać.
• Policja: zgłoszenie przestępstwa, np. szantażu ransomware lub wyłudzenia przelewu, oraz zabezpieczenie dowodów.

Wzory zgłoszeń i komunikatów dla klientów warto przygotować wcześniej. Skrócisz czas reakcji i ograniczysz chaos.

3. Przywracanie działania

Odtwarzaj systemy po kolei, żeby nie wprowadzić z powrotem drogi, którą wszedł atakujący.

• Zacznij od systemów likwidacji szkód, CRM i portali agentów. Po odtworzeniu sprawdź, czy dane są kompletne.
• Zmień wszystkie dane dostępowe: hasła, klucze, certyfikaty i tokeny integracji. Usuń nieużywane konta i dostępy partnerów.
• Wzmocnij ochronę poczty i brzegu sieci: filtrowanie ruchu, blokada logowań z zagranicy, DMARC ustawiony na odrzucanie fałszywych wiadomości, sprawdzanie załączników w izolowanym środowisku i blokada automatycznego przekazywania poczty.
• Podziel sieć tak, by systemy szkód i CRM były dostępne tylko dla osób, które ich potrzebują (zasada najmniejszych uprawnień).
• Monitoruj logowania i nietypowe przesyłanie danych. Jeśli nie masz własnego zespołu, ustal, która firma zewnętrzna to robi.
• Po incydencie omówcie, co zawiodło, zaktualizujcie plan reagowania i ciągłości działania oraz przeszkolcie zespół z wyłudzeń przelewów (BEC) i ransomware.

4. Dowody i współpraca z organami

• Zachowaj łańcuch dowodowy: kopie nośników, zapis pamięci, wyeksportowane logi z datą i godziną oraz zapis podjętych decyzji.
• Pracuj na kopiach, nie na nośnikach źródłowych, i zapisuj każdą czynność: kto, co, kiedy i dlaczego.
• Współpracuj z policją i prokuraturą oraz, jeśli trzeba, z zespołem CSIRT.

5. Jak mówić o incydencie

Mów prosto, podawaj konkrety i oferuj pomoc. Aktualizuj komunikaty w miarę postępu prac.

• Wyznacz jednego rzecznika i uzgodnij komunikaty z działem prawnym.
• Przygotuj odpowiedzi na pytania klientów i agentów oraz stronę z aktualnymi informacjami.
• Przy dużej skali incydentu rozważ pomoc zewnętrznej firmy od reagowania na incydenty i komunikacji.

1-dniowy przegląd cyberbezpieczeństwa firmy ubezpieczeniowej (reakcja)

Potrzebujesz szybko ocenić skalę szkód i bezpiecznie wrócić do działania? Mój 1-dniowy audyt powłamaniowy obejmuje:

• Szybką analizę wektora ataku (poczta/BEC, VPN/RDP, malware, API) i wskazanie punktów wejścia
• Weryfikację ekspozycji danych: których klientów dotyczy incydent, jakie zakresy (PII/medyczne/finansowe)
• Rekomendacje „na już”: wymuszenie MFA/SSO, blokada auto-forward, segmentacja awaryjna, reguły WAF/IDS
• Wsparcie w zgłoszeniach do UODO/KNF oraz przygotowaniu komunikatów dla klientów i partnerów
• Plan bezpiecznego odtworzenia z kopii (RTO/RPO), test integralności, checklista hardeningu „Dzień 1-7”

Opracowanie: AudytBiura.pl, bezpieczeństwo IT dla firm ubezpieczeniowych. Aktualizacja: 19.10.2026 r.

Zobacz też

• Audyt dla firmy ubezpieczeniowej: zakres i cena
• Ransomware w firmie: reakcja i odzyskiwanie
• Phishing w firmie: sygnały ostrzegawcze + checklista
• Backup 3-2-1 dla MŚP
• Audyt cyberbezpieczeństwa w 1 dzień