- Spis treści
- Czas pokoju
- Potem dzieje się coś
- Ciągłość działania to zupełnie inne pytanie
- Kryzys to decyzja
- Czego z tego nie wolno zgubić w dokumentacji
- Terminologia (2026-08-24)
- Dlaczego ta wiedza jest produktem (teza rynkowa, 2026-08-24)
- Powiązania
Strona nadrzędna: Zasady Fabryki
Źródło: ZasadyRealizacji\zdarzenie-incydent-ciaglosc-kryzys.md w drzewie FB. Wiki jest kopią do czytania – zmiany nanosimy w pliku źródłowym, nie tutaj.
Spisane 2026-08-24 z wykładu Grega i fragmentu książki „Być, trwać, rozwijać się. Czyli nietypowo o odporności organizacyjnej, zarządzaniu ciągłością działania, kryzysach i incydentach". Doktryna FB: normy opisują wycinki tego łańcucha, żadna nie opisuje go w całości, a w projektach wdrożeniowych mylą się właśnie granice między wycinkami.
Czas pokoju¶
Punkt wyjścia to organizacja, która działa: ma ustanowiony system, rozwija go i doskonali – procedury, zakupy zabezpieczeń, sprzęt. Audytuje procesy, przegląda ryzyko i skuteczność zabezpieczeń, a wyniki wchodzą do przeglądu zarządzania.
Proces czasu pokoju biegnie etapami następującymi po sobie: identyfikacja i wartościowanie aktywów, szacowanie i ocena ryzyka (od zagrożeń do skutków), planowanie zabezpieczeń wobec wyniku oceny, wdrożenie, działanie systemu, ocena skuteczności. Etapy schodzą się na końcu w całość i w jej ocenę.
To jest czas pokoju – i wszystko, co robimy w projektach wdrożeniowych, dotyczy właśnie jego.
Potem dzieje się coś¶
Wyjście z czasu pokoju nie jest natychmiastowym wejściem w tryb kryzysowy. Najpierw jest zdarzenie i dopiero analiza rozstrzyga, w jaki tryb wchodzimy.
Zdarzenie¶
Wszystko, co jest odstępstwem od stanu normalnego, zaplanowanego, pożądanego. Dwa etapy, których nie wolno sklejać:
- wykrycie – system (cyber, ppoż, ochrony fizycznej, monitoringu parametrów) stwierdza stan inny niż dopuszczalny; sam fakt wykrycia niczego jeszcze nie uruchamia,
- ujawnienie – ktoś to zauważył i od tego momentu biegnie decyzja, co dalej.
Rejestracja zdarzeń jest wiedzą, nie biurokracją. Dziesięć potknięć o wystającą kostkę to dane do analizy zagrożeń – prawdopodobieństwo i możliwość wystąpienia skutku. Jedenaste potknięcie kończy się złamaniem. Analizy robimy z bazy incydentów, a zdarzenia zostają nierejestrowane – i to jest luka wspólna dla RODO, przepisów cyberbezpieczeństwa i praktyki organizacji.
Analiza zdarzenia korzysta z opisów procesów biznesowych – dzięki nim niemal natychmiast wiadomo, czego zdarzenie dotyka. Różnica przebiega w jednym miejscu: dotyka albo nie dotyka.
Incydent – dwa typy¶
Incydent bezpieczeństwa informacji ma dwa wymiary i oba muszą być w definicji organizacji:
- Naruszenie zasad bezpieczeństwa, które sami zapisaliśmy. Zdarzenie naruszyło zabezpieczenie realizujące naszą zasadę – w konsekwencji nie możemy zagwarantować deklarowanego poziomu bezpieczeństwa. Coś nie zagrało.
- Stało się coś, czego nie przewidzieliśmy. Zdarzenie poza katalogiem zasad, bo zasady dla tego przypadku nie powstały.
Definicja zawężona do punktu pierwszego jest niebezpieczna. Zakłada, że zidentyfikowano wszystkie zagrożenia i wdrożono wszystkie możliwe zasady. Przy takim zapisie zdarzenie z drugiego typu wypada poza klasyfikację – mimo że skutek nastąpił.
Incydent trwa: bywa jednym momentem, bywa stanem ciągnącym się w czasie. W obu przypadkach ustala się moment wykrycia, rozpoczęcia i zakończenia – dla reakcji i dla materiału dowodowego.
Incydent jest obsługiwany i eskalowany do poziomu wyżej. Awarie, wypadki i naruszenia ochrony danych osobowych są incydentami w rozumieniu procesu zarządzania bezpieczeństwem – mają tylko własne nazwy.
Ciągłość działania to zupełnie inne pytanie¶
BCP, a dokładniej BCMS, nie jest kolejnym poziomem obsługi incydentu. To odpowiedź na inne pytanie: czy w danym czasie zdążymy z podniesieniem.
Rozdzielenie, które w rozmowach ginie najczęściej:
| Pojęcie | Czym jest |
|---|---|
| BCMS | system zarządzania ciągłością działania – poziom zarządczy, ustanowienie i utrzymanie |
| BCP | plan ciągłości działania – warstwa wykonawcza, operacyjna |
| DRP | plan odbudowy po awarii lub katastrofie; może być częścią obsługi incydentu, planu ciągłości albo zarządzania kryzysowego – nie jest przypisany do jednego z nich |
SZBI jest wobec firmy usługowe. Jest elementem pełnego BCMS i pełnego BCP, bo dane wyjściowe wyznacza biznes, nie bezpieczeństwo:
- biznes określa MTPD / MAO – maksymalny czas przestoju, po którym organizacja przestaje się podnieść,
- SZBI wylicza własne podparametry – RTO, RPO, a wcześniej MBCO – tak, aby zmieścić się w czasach wyznaczonych przez biznes.
Nasze BIA dotyczy wyłącznie systemów ICT. Cel i zakres analizy ustala się na wejściu i to on ogranicza ją do warstwy teleinformatycznej. BIA całej organizacji jest zadaniem biznesu, nie SZBI.
BCP uruchamia się wtedy, gdy w trakcie obsługi incydentu widać, że może dojść do naruszenia czasów maksymalnych (MTPD / MAO). To jest moment przekazania, a nie ranga incydentu.
Kryzys to decyzja¶
Kryzys nie jest „bardzo poważnym incydentem". Greckie krisis znaczy rozstrzygnięcie, wybór – i o to chodzi:
Kryzys zaczyna się wtedy, gdy nie mamy zasobów na utrzymanie wszystkich usług i produktów. Coś trzeba poświęcić na rzecz czegoś.
Dwie ścieżki prowadzenia kryzysu:
- Zależności znane i opisane. Wiemy, co od czego zależy, więc pierwszeństwa są zaszyte wcześniej – w BCP, a zarządczo w BCMS. Decyzja została podjęta przed zdarzeniem.
- Sytuacja nieopisana. Pracujemy zupełnie inaczej, w pętli: zbieranie informacji → budowanie świadomości sytuacyjnej → decyzja → wdrożenie → powrót do zbierania informacji. Pętla kręci się do ustabilizowania sytuacji.
Źródła kryzysu wskazane w BS 11200, warte zapamiętania przy projektowaniu klasyfikacji: błędnie obsłużony incydent oraz incydent zamieciony pod dywan. Sprzyja im układ, w którym pierwszą fazą incydentu zajmuje się kierownik działu, w którym do niego doszło.
Czego z tego nie wolno zgubić w dokumentacji¶
- Zdarzenie rejestrujemy, nie tylko incydent. Bez tego analiza zagrożeń pracuje na ułamku danych.
- Definicja incydentu obejmuje oba typy – naruszenie własnych zasad i zdarzenie nieprzewidziane.
- Klasyfikacja incydentu niesie katalog potencjalnych skutków i oddziaływań na inne obszary – silosowa klasyfikacja („to sprawa BHP") jest źródłem błędnej ścieżki postępowania.
- Ryzyko to suma skutków, nie pojedynczy skutek branżowy. Rozpatrywane osobno – finansowe, prawne, operacyjne, reputacyjne – każde z nich potrafi oszukać skalą.
- Granica SZBI i BCMS jest granicą kompetencji, nie hierarchii. Bezpieczeństwo nie wyznacza MTPD, tylko się w nim mieści.
Terminologia (2026-08-24)¶
W polskim wydaniu normy mówimy zabezpieczenia, nie „kontrole". Angielskie controls tłumaczy się w PN jako zabezpieczenia i tego trzymamy się w dokumentach, prezentacjach i rozmowach z klientem. „Kontrola" w języku polskim znaczy sprawdzenie – użycie jej w znaczeniu środka ochronnego myli dwa różne pojęcia i wprowadza kalkę językową tam, gdzie polska terminologia jest ustalona.
Dlaczego ta wiedza jest produktem (teza rynkowa, 2026-08-24)¶
Tego modelu nie ma na rynku szkoleniowym – i to nie jest przeoczenie, tylko historia: duże korporacje były układane lata temu, więc popyt na szkolenie z fundamentów wygasł, a nowego jeszcze nie ma.
To się zmienia. Zalew regulacji i norm – NIS2, CER, DORA, UKSC, UZK, kolejne akty wykonawcze – wymusi sprowadzenie bezpieczeństwa do jednego rdzenia: przebiegu identycznego wszędzie, z nakładkami domenowymi i branżowymi. Organizacja, która dla każdej regulacji buduje osobny system, utonie w utrzymaniu; organizacja z jednym rdzeniem dokłada nakładkę.
Ten dokument opisuje właśnie rdzeń: zdarzenie → incydent → ciągłość → kryzys to przebieg wspólny dla ppoż (IBP realizuje go w całości), RODO (naruszenie jako incydent poważny), UKSC, BHP i reszty domen. Nakładką jest terminologia, progi i obowiązki notyfikacyjne konkretnego reżimu – nie sam przebieg.
Wiedza budowana na s87 przyrostowo, wyprzedzając rynek – kiedy popyt wróci, FB ma gotową bazę, nie prezentację pisaną na kolanie.
Powiązania¶
-
ProjektyC\Komercyjne\VCN\ROBOCZE_ISO27001\SZBI-Zarzadzanie_Incydentami\_NOTATKA_odwracalnosc_atrybutow_2026-08-23.md– bow-tie jako szkielet oceny incydentu, nieodwracalność poufności i integralności, przebieg zdarzenie → incydent → naruszenie. -
metodyka-audytu-jako-zrodlo-wzorcow-wdrozeniowych.md– dlaczego wdrożenie projektuje dowód zawczasu. - Źródło doktryny: „Być, trwać, rozwijać się" (G. Krzemiński, w przygotowaniu).