Incydent? podejrzenie popełnienia przestępstwa? naruszenie ochrony danych osobowych - gdzie, jak zgłosić, formularze, instrukcje, dane kontaktowe

W jakim terminie zgłosić?

Operator usługi kluczowej – niezwłocznie do właściwego CSIRT, nie później niż w ciągu 24h od momentu jego wykrycia.
Podmiot publiczny – niezwłocznie do właściwego CSIRT, nie później niż 24h od momentu wykrycia.
Administrator – niezwłocznie do organu nadzorczego (art. 55 RODO) nie później niż 72h od stwierdzenia naruszenia ochrony danych osobowych.

Formularze zgłoszeń

Formularz zgłoszenie CERT POLSKA/CSIRT NASK/pdf – źródło NASK

Formularz zgłoszenia KNF/pdf – źródło KNF

Formularz zgłoszenia UODO/*.word – źródło UODO

Formularz zgłoszenia GOV/pdf – źródło GOV.PL

Formularz sprawozdawczy raportowanie KNF/xls – źródło KNF

Zgłaszanie naruszeń danych osobowych – wytyczne Europejskiej Rady Ochrony Danych Osobowych – dokument UODO/pdf – źródło UODO

Zgłoszenie nielegalnych treści – źródło NASK

Instrukcje

Poradnik – zgłaszanie incydentów przez placówki ochrony zdrowia – źródło NASK/pdf

Poradnik – zgłaszanie incydentów przez jednostki samorządu terytorialnego – źródło NASK/pdf

Instrukcja zgłaszania incydentów na podstawie PSD2 – źródło KNF

Poradnik – utrata tożsamości – źródlo UODO

Cyber przęstępstwo lub podejrzenie https://www.gov.pl/web/cyfryzacja/cyberprzestepczosc

Pojęcia

Podstawowe pojęcia wyciąg z ustawy z dnia 5 lipca 2018 r. o Krajowym Systemie Cyberbezpieczeństwa (KSC):

Rodzaje incydentów:

Incydent krytyczny – incydent, skutkujący znaczną szkodą dla bezpieczeństwa lub porządku publicznego, interesów międzynarodowych, interesów gospodarczych, działania instytucji publicznych, praw i wolności obywatelskich lub życia i zdrowia ludzi.
Incydent poważny – incydent, który powoduje lub może spowodować poważne obniżenie jakości lub przerwanie ciągłości działania świadczonej usługi kluczowej.
Incydent istotny – incydent, który ma istotny wpływ na świadczenie usługi cyfrowej.
Incydent o podmiocie publicznym – incydent, który powoduje lub może spowodować obniżenie jakości lub przerwanie realizacji zadania publicznego realizowanego przez podmiot publiczny.
Incydent zwykły – zdarzenie, które ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo – ten incydent nie podlega zgłoszeniu, ale też należy go obsługiwać.

Incydentem jest każde zdarzenie, które ma rzeczywisty niekorzystny wpływ na bezpieczeństwo sieci i systemów informatycznych – Dyrektywa 2016/1148.

Incydent RODO – art. 4 pkt 12 RODO – Naruszenie ochrony danych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

Cyberbezpieczeństwo – odporność systemów informacyjnych na działania naruszające poufność, integralność, dostępność i autentyczność przetwarzanych danych lub związanych z nimi usług oferowanych przez te systemy.

Zagrożenie cyberbezpieczeństwa – potencjalna przyczyna wystąpienia incydentu.

Przestępstwo – na podstawie Kodeksu Karnego, to czyn zabroniony pod groźbą kary przez ustawę obowiązującą w czasie jego popełnienia, bezprawny, zawiniony, społecznie szkodliwy w stopniu większym niż znikomy.

Co do zasady Incydenty zgłaszamy do właściwego CSIRT lub właściwego organu nadzorczego, w przypadku podejrzenia przestępstwa lub popełnienia przestępstwa na Policję i Prokuraturę.

Przy zgłoszeniu warto rozważyć to, co celowo podkreśliłem tj. czy nasze zgłoszenie ma charakter społecznie szkodliwy w stopniu większym niż znikomym, jeśli nie – możemy dostać odmowę i brak uzasadnienia wszczęcia postępowania.

Odpowiedzialność CSIRT

(Art. 26 ustawy o KSC)

CSIRT NASK:

Osoby fizyczne, przedsięborstwa.
Lokalne szczeble administracji samorządowej wraz z jednoskami podległymi.
Dostawcy uslug cyfrowych.
Pozostali operatorzy usług kluczowych, nie objętych poniższymi, wyspecjalizowanymi punktami kontaktu.

CSIRT GOV (ABW):

Administracja centralna.
NBP.
BGK.
Operatorzy infrastruktury krytycznej nie podległe MON.
Incydenty o charakterze terrorystycznym.

CSIRT MON:

Wojsko wraz z podmiotami podległymi.
Przedsiębiorstwa o szczególnym znaczeniu gospodarczym/obronnym ,które wykonują zadania na rzecz obronności państwa i są nadzorowane przez Ministra Obr

Podejrzenie przestępstwa

próby oszustwa, podejrzana faktura, SMS/e-mail z linkiem do zapłaty?
e-mail/sms z szantażem, groźbą udostępnienia danych/zdjęć/kompromitujących informacji, zaszyfrowania dysku, serwera – gdy nie zapłacisz?
modyfikacje bądź niszczenie danych, blokowanie dostępu do usług?
podszywanie pod firmy kurierskie, urzędy, operatorów, inną osobę w celu wyłudzenia danych. do logowania do kont bankowych, facebook itp, serwisów www.

Instrukcje postępowania dostępne na GOV.PL – https://www.gov.pl/web/cyfryzacja/cyberprzestepczosc

W przypadku podejrzenia popełnienia przestępstwa, które powinieneś niezwłocznie zgłosić na Policję lub Prokuraturę nie kieruj się w pierwszej kolejności na Komisariat, tylko skontaktuj się z wyspecjalizowanym Wydziałem do walki z Cyberprzestępczością, działający przy Wojewódzkiej Komendzie Policji.

Pamiętajmy, że taki wydział, nie jest dostępny dla nas 24h na dobę, zazwyczaj w godzinach pracy 7:30-15:30.
TO NIE INFOLINIA – Kieruj się w uzasadnionych przypadkach/Nieuzasadnione zgłoszenie rodzi konsekwencje.

Responsywność na email/fax zależy również od nas:

W zawiadomieniu o podejrzeniu popełnieniu przestępstwa napisz jak najwięcej informacji. które zgłaszasz:

opisz dokładnie, co się stało, w jaki sposób, kiedy i gdzie,
napisz, kto jest sprawcą – jeśli wiesz,
wskazanie osoby pokrzywdzonej, jeżeli jest inną, niż zawiadamiająca,
podaj ewentualnych świadków,
podaj informacje o posiadanych dowodach, w szczególności gdy istnieje ryzyko ich utraty lub zniekształcenia,
podaj nazwę i adres jednostki policji lub prokuratury, do której wysyłasz zawiadomienie,
podaj swoje dane kontaktowe: imię, nazwisko, telefon, adres – żeby Policja mogła się z tobą skontaktować,
podpisz się czytelnie,

Funkcjonariusze jak w Security Operation Center, też mają priorytety obsługi zgłoszeń, te które dotyczą zdrowia i zagrożenia życia mają najwyższy. Jeśli sprawa dotyczy wcześniej wymienionych spraw uzasadnione będzie niezwłoczne powiadomienie na komisariacie, ze względu na możliwość i konieczność podjęcia niezbędnych czynności, bez zbędnej zwłoki – mówiąc prostym językiem e-mail może zostać odczytany np. następnego dnia.

Gdzie zgłaszać: Prokuratura i Policja

(właściwość dla miejsca zdarzenia – zakładka gdzie zgłaszasz)
https://www.gov.pl/web/gov/zglos-przestepstwo

Przygotowanie

Przygotuj wszystkie potrzebne dokumenty.
Napisz zawiadomienie o podejrzeniu popełnienia przestępstwa.
Wyślij je mailem, faksem lub pocztą na adres policji albo prokuratury.
Czekaj na list – dostaniesz pisemne wezwanie do ustnego uzupełnienia zawiadomienia.
Zgłoszenie w formie elektronicznej nie wystarczy, wizyta w wydziale lub najbliższym komisariacie, lub prokuraturze będzie dodatkowo konieczna do formalnego wszczęcia postępowania lub złożenia wyjaśnień w zależności od miejsca gdzie dokonałeś zgłoszenia.
Po spotkaniu na policji lub w prokuraturze, czekaj na list z decyzją o wszczęciu lub umorzeniu postępowania.