Modul 8 · 8.1
Plán pre prípad incidentu a incidentná kartička
Modul 8: Keď sa niečo pokazí · Čas čítania: 10 minút
Cieľ lekcie: Po tejto lekcii dokážete vytvoriť incidentnú kartičku a jednoduchý plán pre prípad incidentu, ktoré fungujú aj vtedy, keď nemáte prístup k počítačom, pošte ani telefónnemu zoznamu.
Kľúčové pojmy: incident, incidentná kartička, plán pre prípad incidentu, role, kontaktný zoznam, obmedzenie šírenia, uchovanie dôkazov, komunikácia, offline uloženie, nácvik (tabletop)
Prečo si to vybavíte teraz, a nie keď horí
Predstavte si: je pondelok ráno, 07:45. Na pokladničnom počítači Pekárne Example svieti červená obrazovka s textom, že všetky súbory sú zašifrované. Zdieľaný priečinok s objednávkami sa neotvára. Niekto povie: "Zavolajte počítačovému technikovi." Lenže jeho číslo je uložené v kontaktoch e-mailovej schránky, a tá schránka je na tom istom počítači. Niekto iný chce počítač hneď vypnúť. Tretí sa chystá pripojiť záložný disk, aby "všetko obnovil".
Všetky tri reakcie sú pochopiteľné a dve z nich situáciu zhoršia. Takmer vždy to prebieha takto: pod tlakom robia ľudia to, čo im napadne ako prvé. Incident je každá udalosť, ktorá ohrozuje dostupnosť, spoľahlivosť alebo dôvernosť vašich údajov či systémov: napadnutý e-mailový účet, ransomvér, stratený notebook, e-mail s údajmi zákazníka poslaný nesprávnej osobe, prevzatá webová stránka.
Cieľom plánu nie je, aby všetko dopadlo dobre. Cieľom je, aby ste v prvej hodine neurobili chyby, ktoré sa už nedajú napraviť, a aby ste vedeli, komu zavolať.
Incidentná kartička a plán pre prípad incidentu: rozdiel
| Incidentná kartička | Plán pre prípad incidentu | |
|---|---|---|
| Čo je to | Jeden list A4 s prvými krokmi a číslami | Niekoľko strán s rolami, dohodami a postupom pre jednotlivé typy incidentov |
| Pre koho | Pre každého vo firme | Pre majiteľa alebo osobu, ktorá má na starosti IT |
| Kde | Na papieri, na stene pri tlačiarni, v zásuvke, ako fotka v telefóne | Na papieri aj digitálne, s kópiou mimo firmy |
| Kedy | Prvé minúty | Prvé hodiny a dni |
Pre firmu s dvoma až dvadsiatimi zamestnancami je najdôležitejšia kartička. Plán môže byť krátky. Holandský NBÚ (NCSC) má pre ransomvér podrobný plán reakcie na incident (pozri Odporúčame si prečítať); môžete ho použiť ako východisko a skrátiť ho.
Čo patrí na incidentnú kartičku
Dobrá kartička odpovedá na päť otázok. Nižšie je šablóna, ktorú môžete prevziať.
INCIDENTNÁ KARTIČKA Pekáreň Example verzia: 1 dátum: ..-..-....
1. VŠIMLI STE SI NIEČO PODOZRIVÉ? (červená obrazovka, odoslaný čudný mail,
prihlásenie nefunguje, neznáma platba, stratený notebook, údaje poslané
nesprávnemu príjemcovi)
-> Nahláste to HNEĎ osobe: ............................ tel: ...............
Náhradník: .......................................... tel: ...............
Nahlásenie je vždy správny krok. Nikto za to nenesie vinu.
2. PRVÉ KROKY (neopravujte to sami)
[ ] Vytiahnuť sieťový kábel / vypnúť wifi / zapnúť režim lietadlo. NEVYPÍNAŤ.
[ ] Odpojiť USB a záložné disky. NEPRIPÁJAŤ.
[ ] Odfotiť obrazovku (telefónom).
[ ] Zapísať: čas, čo ste videli, čo ste urobili.
[ ] Neplatiť, nereagovať na vydierača.
3. KOMU VOLÁME?
IT podpora / správca ............................ tel: ...............
Hosting / pošta ............................ tel: ...............
Banka (podvod, 24/7) ............................ tel: ...............
Poisťovňa (kybernetické) ............................ polisa: .............
Polícia (trestné oznámenie) 158 / 112
Úrad na ochranu osobných údajov, oznámenie porušenia dataprotection.gov.sk (do 72 hodín)
Dôležitý zákazník/dodávateľ: ................... tel: ...............
4. KTO ROZHODUJE A KTO KOMUNIKUJE?
Rozhoduje (vypnúť, obnoviť, nahlásiť, zaplatiť): ..........................
Komunikuje so zákazníkmi, médiami, personálom: ........................................
Vedie denník udalostí: .....................................................
5. KDE ČO NÁJDETE?
Zálohy: .............................. (posledný test: ..-..-....)
Núdzový prístup k správcovi hesiel: ...........................................
Zoznam systémov a účtov: ..........................................
Tento plán (digitálne) + kópia mimo firmy: ..............................Niekoľko rozhodnutí v tejto šablóne si zaslúži vysvetlenie.
- "Nevypínať, len odpojiť." Pri ransomvéri odporúča NBÚ (NCSC) okamžite odpojiť zasiahnuté zariadenie od siete (kábel, wifi, mobilná sieť), ale nevypínať ho; režim spánku je v poriadku. V pracovnej pamäti sú stopy, ktoré môže vyšetrovateľ potrebovať, a niekedy aj kľúče. Odpojenie zastaví šírenie na ďalšie zariadenia a na sieťový disk.
- "Záložné disky nepripájať." Disk, ktorý pripojíte k napadnutému počítaču, sa tiež zašifruje. Najprv musíte mať istotu, že prostredie je čisté (lekcia 8.3).
- "Nahlásenie je vždy správny krok." Zamestnanec, ktorý si niečo všimne ako prvý, je vašou najlepšou obranou. Ak sa bojí pokarhania, bude vyčkávať a vy stratíte hodiny. Pozri aj lekciu 9.2.
- Čísla na papieri. Práve pri veľkom incidente nefunguje vaša pošta, zdieľaný kalendár a niekedy ani telefónna ústredňa. Kartička, ktorá je len v cloude, je potom nedostupná.
Číslo 158 (prípadne 112) slúži na kontakt s políciou; pri kybernetickom útoku zvyčajne nejde o núdzovú situáciu vyžadujúcu okamžitý zásah, ale trestné oznámenie môžete podať na príslušnom policajnom útvare.
Role: kto čo robí
V malej firme je jedna osoba často zodpovedná za všetko. Napriek tomu si dohodnite tri role, aj keď ich zastáva tá istá osoba:
- Rozhodovateľ. Rozhoduje o vypnutí, obnove, nahlásení úradu na ochranu osobných údajov, kontakte s bankou a o tom, či prizvať externého špecialistu. Najlepšie majiteľ alebo konateľ, so stálym zástupcom.
- Technická línia. Váš IT dodávateľ, tvorca webu alebo šikovný kolega. Robí, čo žiada rozhodovateľ, a radí. Vopred si dohodnite, či vám váš IT dodávateľ pomôže aj pri incidente, ako rýchlo a za akú cenu; to je otázka pre lekciu 7.2.
- Komunikátor. Komunikuje so zákazníkmi, personálom a prípadne médiami, aby navonok išiel jeden jednotný príbeh. Pri úniku osobných údajov sem patrí aj informovanie dotknutých osôb (lekcia 8.2).
Určte aj niekoho, kto bude viesť denník udalostí: čas, čo sa stalo, kto čo rozhodol. Môže to pôsobiť byrokraticky, ale budete to potrebovať pri oznámení úradu na ochranu osobných údajov (ten sa pýta, kedy ste únik zistili a čo ste urobili), pre poisťovňu, pre trestné oznámenie aj pre vyhodnotenie po skončení.
Plán: pre každý typ incidentu niekoľko pravidiel
Okrem kartičky napíšte pre jednotlivé bežné typy incidentov krátky postup. Na začiatok stačia štyri:
| Incident | Prvé kroky | Ďalej |
|---|---|---|
| Prevzatý e-mailový účet (odosielajú sa čudné maily, heslo nefunguje) | Zmeniť heslo z iného, čistého zariadenia; odhlásiť všetky relácie; skontrolovať pravidlá preposielania a filtrovania; zapnúť 2FA | Upozorniť kontakty; zistiť, ktoré maily boli prečítané alebo odoslané (možný únik osobných údajov, lekcia 8.2) |
| Ransomvér | Odpojiť, nevypínať; odpojiť zálohy; zavolať IT podporu; neplatiť | Lekcia 8.3: vyšetrenie, čistá obnova, trestné oznámenie, No More Ransom |
| Stratený notebook alebo telefón | Vzdialene uzamknúť alebo vymazať; zmeniť heslá uložených účtov; zrušiť relácie | Bol disk zašifrovaný? Ak nie: možný únik osobných údajov (lekcia 8.2) |
| Podozrivá platba alebo podvod s faktúrou | Ihneď zavolať banke (storno sa niekedy podarí len vtedy, ak konáte rýchlo); zavolať dodávateľovi na overené číslo | Trestné oznámenie; nebol napadnutý e-mail dodávateľa alebo váš vlastný? (lekcia 1.2) |
Zaznamenajte si tiež, ktoré systémy sú najdôležitejšie, podľa poradia. Pri Pekárni Example je to napríklad: pokladňa a platobný terminál, dnešné objednávky, pošta, účtovníctvo, webová stránka. Pri obnove začínate odhora. Pozri aj RPO a RTO v lekcii 6.3.
Nácvik: pol hodiny pri stole
Plán, ktorý nikto nepozná, nefunguje. Tabletop nácvik trvá pol hodiny: sadnete si k stolu s ľuďmi, ktorí majú pridelenú rolu, a prehráte scenár bez toho, aby ste sa čohokoľvek dotkli. Moderátor (môžete ním byť aj vy sami) postupne hovorí, čo sa deje.
Príklad: "Je piatok, 16:30. Účtovníčka dostane mail od stáleho dodávateľa: IBAN sa zmenil, otvorenú faktúru vo výške 8 400 eur prosím pošlite ešte dnes na nové číslo účtu. Čo urobíte?" A potom: "Je pondelok. Dodávateľ volá: nič nedostal." Pri každom kroku sa pýtate: kto čo urobí, komu zavoláte, kde je uložené to číslo?
Po skončení si zapíšte, čo chýbalo. Takmer vždy je to telefónne číslo, heslo, ktoré pozná len jedna osoba, alebo nejasnosť, kto rozhoduje. Kartičku upravte a uveďte na nej nový dátum. Nacvičovať raz ročne a prejsť kartičku je pre malú firmu dobrý rytmus, rovnako aj po každej väčšej zmene (nový IT dodávateľ, nový účtovný program).
V praxi: ako to vyzerá
Do kartičky si zapíšte aj konkrétne miesta, kde môžete u svojich vlastných poskytovateľov rýchlo zasiahnuť. Pri WebOké je to napríklad: zobrazenie a odhlásenie aktívnych relácií v Môj WebOké, postup "Moja webová stránka bola napadnutá" v návode pre DirectAdmin a obnovenie zálohy. U iných poskytovateľov hostingu, pošty a cloudu existujú podobné funkcie; vyhľadajte ich skôr, než ich budete potrebovať, a zapíšte si, kde sa nachádzajú.
Zhrnutie
- Incidentná kartička (jeden list A4, na papieri) zabezpečí, že každý v prvých minútach urobí správnu vec: nahlási to, odpojí zariadenie ale nevypne ho, nepripojí zálohy, nič nezaplatí.
- Dohodnite si role: kto rozhoduje, kto vykonáva technickú prácu, kto komunikuje, kto vedie denník udalostí.
- Napíšte pre jednotlivé bežné typy incidentov krátky postup a poradie vašich najdôležitejších systémov.
- Uchovávajte čísla a plán aj mimo svojich počítačov.
- Raz ročne si pol hodiny pri stole nacvičte postup a kartičku aktualizujte.
Kvíz
Úloha
Úloha D8.1: Vaša vlastná kartička pre prípad incidentu. Prevezmite šablónu z tejto lekcie a vyplňte ju pre vašu vlastnú firmu: skutočné mená, čísla a miesta. Vytlačte ju, vyveste a odfoťte si ju do telefónu. Následne s jedným kolegom (alebo sami) prehrajte za štvrťhodinu scenár so zmeneným IBAN-om z tejto lekcie a zapíšte si, čo vám chýbalo.
Úloha D8.1: Vaša vlastná kartička pre prípad incidentu
Postupujte takto: (1) Prevezmite šablónu nižšie (stránka kurzu ju ponúka aj ako stránku na tlač, žiadne údaje sa neodosielajú na server). (2) Vyplňte skutočné mená, telefónne čísla a miesta. Aspoň jedno číslo si overte spätným volaním (napríklad číslo banky pre nahlásenie podvodu, ktoré je často na zadnej strane karty alebo v aplikácii). (3) Kartičku vytlačte, zaveste na pevné miesto a odfoťte si ju do telefónu. Uchovajte jednu kópiu mimo firmy (doma alebo u dôveryhodnej osoby). (4) Spolu s jedným kolegom, alebo sami, si za štvrťhodinu precvičte scenár s IBAN z lekcie (tabletop cvičenie).
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Odporúčame si prečítať
Postupy v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.
- Návod na DirectAdmin 18.2: Moja webová stránka je napadnutá: postup krok za krokom
- Pomoc! Moja stránka bola napadnutá. Ako to vyriešiť a ako tomu predísť?
- Príručka WebOké 3.6: Zobrazenie aktívnych relácií a odhlásenie
- NBÚ (holandský NCSC), Čo robiť pri útoku ransomvérom?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
- NCSC, Plán reakcie na incident typu ransomvér (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
- SK-CERT, Nahlásenie bezpečnostného incidentu: https://www.sk-cert.sk/