Zgłoś zdarzenie i zapisz fakty
Natychmiast skontaktuj się z ustalonym opiekunem IT. Jeśli poczta może być przejęta, użyj niezależnego kanału. Zapisz czas, objawy i wykonane działania. Zachowaj podejrzaną wiadomość i dostępne logi; nie rozsyłaj jej dalej do zespołu i nie otwieraj ponownie załącznika. Nie ukrywaj pomyłki — szybka informacja pomaga ograniczyć skutki.
Reakcja zespołu: od zgłoszenia do bezpiecznego powrotu.
- 01Zgłoś i zapisz faktySkontaktuj się z IT zaufanym kanałem.
- 02Ogranicz skutkiIT ustala izolację i zabezpiecza dowody.
- 03Przywróć i sprawdźZespół usuwa przyczynę i weryfikuje usługę.
- 04Wyciągnij wnioskiUzupełnij procedury i sprawdź zabezpieczenia.
Po ujawnieniu danych logowania
Z zaufanego urządzenia zmień hasło do właściwej usługi. Administrator powinien unieważnić sesje i tokeny, sprawdzić nowe metody MFA i odzyskiwania oraz nieznane zgody aplikacji. W poczcie sprawdź reguły przekazywania i wysłane wiadomości. Jeśli hasło było powtarzane, zabezpiecz także pozostałe konta.
Gdy pliki są szyfrowane lub urządzenie zachowuje się podejrzanie
Odłącz podejrzany komputer od sieci przewodowej i Wi-Fi, aby ograniczyć rozprzestrzenianie. Nie podłączaj dysków z kopiami. Dalsze działania, w tym decyzję o wyłączeniu urządzenia, uzgodnij z zespołem reagowania — mogą wpłynąć na dostępne dowody. Nie uruchamiaj na własną rękę czyszczenia lub odtwarzania systemu.
Ustal skalę i bezpieczny powrót do pracy
Wyznacz koordynatora i ustal, jakie konta, urządzenia oraz dane mogły zostać objęte zdarzeniem. IT usuwa drogę wejścia i weryfikuje środowisko przed odtworzeniem. Po podejrzanym przelewie od razu skontaktuj się z bankiem. Incydent można zgłosić CERT Polska; ocenę innych obowiązków zgłoszeniowych powierz właściwym osobom w firmie. Po przywróceniu usług zapisz wnioski i popraw procedury.