System S46

Co to jest System S46

System S46 to prowadzony przez polską administrację system teleinformatyczny służący do zgłaszania incydentów cyberbezpieczeństwa. Jest warstwą raportowania i komunikacji w krajowym systemie cyberbezpieczeństwa (KSC): podmioty w nim uczestniczące przekazują tą drogą informacje o zdarzeniach do właściwych organów, a organy komunikują się tą samą drogą zwrotnie.

Nazwa jest nazwą własną konkretnego systemu, nie skrótem od przepisu ani oznaczeniem metodyki. Dlatego zapytanie o System S46 bywa dwuznaczne: część osób szuka strony logowania, a część szuka odpowiedzi na pytanie, czym ten system w ogóle jest i czy ich dotyczy. To hasło odpowiada na drugie z tych pytań.

Do czego System S46 służy

Z punktu widzenia organizacji objętej KSC system pełni trzy funkcje:

• Kanał zgłoszeniowy — tą drogą przekazuje się informację o incydencie poza organizację, do właściwego organu.
• Kanał komunikacji zwrotnej — tą samą drogą organizacja otrzymuje informacje od organów i zespołów reagowania.
• Punkt styku dla osób wyznaczonych do kontaktu — obowiązek nie jest abstrakcyjny, ma po stronie organizacji konkretne osoby i konkretne role.

Z punktu widzenia państwa sens istnienia takiego kanału jest prosty: incydent u jednego podmiotu bywa pierwszym sygnałem kampanii dotyczącej całego sektora. Rozproszone zgłoszenia mailem albo telefonem nie składają się w obraz sytuacji; ustandaryzowany kanał — składa.

Kogo System S46 dotyczy

Kręgu podmiotów nie wyznacza się branżowym zwyczajem ani wielkością firmy odczytaną na oko, lecz przepisami krajowego systemu cyberbezpieczeństwa. Typowo chodzi o organizacje, których ciągłość działania ma znaczenie wykraczające poza nie same: infrastrukturę energetyczną, wodociągową i transportową, ochronę zdrowia, usługi cyfrowe, administrację publiczną oraz podmioty świadczące usługi kluczowe dla tych sektorów.

Dwie uwagi praktyczne, które w rozmowach z klientami wracają najczęściej:

1. Objęcie KSC jest cechą podmiotu, nie decyzją podmiotu. Nie jest to program, do którego się zgłasza ani z którego się rezygnuje.
2. Zakres i brzmienie obowiązków się zmieniają. Przepisy w tym obszarze bywają zmieniane, a opracowania krążące w internecie szybko się po nich starzeją. Z tego powodu w tym haśle świadomie nie podajemy ani terminów zgłoszenia, ani numerów artykułów, ani wysokości sankcji — po aktualne brzmienie trzeba sięgnąć do urzędowego źródła, nie do słownika firmy szkoleniowej.

Czego w Systemie S46 nie zrobisz

Nieporozumienia wokół tego systemu dotyczą głównie tego, czym on nie jest:

• Nie jest narzędziem reagowania na incydent. Nie izoluje stacji, nie odtwarza kopii, nie prowadzi analizy powłamaniowej. To robi zespół — własny albo zewnętrzny.
• Nie jest rejestrem, w którym sprawdzisz swój status. Pytanie „czy jesteśmy objęci” rozstrzyga się poza systemem.
• Nie jest substytutem procedury wewnętrznej. Jeżeli organizacja nie ma ustalonego progu zgłoszeniowego, ścieżki decyzyjnej i osoby odpowiedzialnej, dostęp do systemu nie wypełni tej luki — tylko ją ujawni w najgorszym możliwym momencie.
• Nie jest szkoleniem ani wykładnią prawa. System przyjmuje zgłoszenia; nie tłumaczy, czy zdarzenie jest incydentem podlegającym zgłoszeniu.

System S46 a gotowość organizacji

Najczęstszy problem, z jakim organizacje przychodzą na szkolenia z KSC i NIS2, nie brzmi „jak kliknąć w systemie”. Brzmi: kto u nas decyduje, że to jest incydent podlegający zgłoszeniu, na podstawie czego i w jakim czasie. Dostęp do kanału zgłoszeniowego jest warunkiem koniecznym i najłatwiejszym do spełnienia; trudniejsze jest to, co dzieje się w organizacji od momentu wykrycia zdarzenia.

Praktycznie oznacza to kilka rzeczy do ustalenia na zimno, przed zdarzeniem: klasyfikacja zdarzeń i próg zgłoszeniowy, jednoznaczne wskazanie osoby decydującej i jej zastępcy, ścieżka eskalacji do zarządu, wzór opisu zdarzenia oraz rejestr zdarzeń, który pozwoli odtworzyć przebieg po fakcie. To są elementy niezależne od tego, jak dokładnie wyglądają formularze w samym systemie.

Gdzie szukać źródła prawdy

Źródłem prawdy o Systemie S46 — procedurze dostępu, zakresie zgłoszeń i aktualnym brzmieniu przepisów — jest urzędowy serwis prowadzony przez administrację odpowiedzialną za system oraz właściwy organ, z którym organizacja się kontaktuje. EITT nie prowadzi tego systemu i nie pośredniczy w dostępie do niego. Niniejsze hasło wyjaśnia pojęcie i kontekst; decyzje zgodnościowe należy opierać na źródle urzędowym i, gdy stawka jest wysoka, na opinii prawnej.