Słownik pojęć

Pojęcia, które padają w artykułach i aktualnościach. Tam, gdzie ustawa definiuje pojęcie, hasło cytuje przepis; pozostałe wyjaśniam z praktyki i podaję źródło.

Akty prawne

Dyrektywa NIS2NIS2: Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. o cyberbezpieczeństwie w Unii. W Polsce wdraża ją ustawa o KSC po nowelizacji z 2026 r.
Krajowe Ramy InteroperacyjnościKRI: Rozporządzenie Rady Ministrów z 2024 r., które między innymi nakazuje podmiotom realizującym zadania publiczne prowadzić system zarządzania bezpieczeństwem informacji.
Nowelizacja ustawy o KSC z 2026 r.: Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw. Wdraża NIS2, obowiązuje od 3 kwietnia 2026 r.
RODO: Rozporządzenie (UE) 2016/679 o ochronie danych osobowych. Tematy RODO omawiam na pawel.rosol.pl; tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych.
Ustawa o KSC: Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Po nowelizacji z 2026 r. wdraża dyrektywę NIS2 i określa obowiązki podmiotów kluczowych i ważnych.

Instytucje

Centralne Biuro Zwalczania CyberprzestępczościCBZC: Jednostka Policji powołana do zwalczania cyberprzestępczości. W aktualnościach pojawia się jako adresat zawiadomień o włamaniach i wyciekach, obok CSIRT i Prezesa UODO.
CERT Polska: Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
CERT-EU: Służba cyberbezpieczeństwa instytucji, organów i agencji Unii Europejskiej. Jej ostrzeżenia bywają źródłem aktualności na tej stronie; nie jest organem w rozumieniu ustawy o KSC.
CISA: Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.
CSIRT: Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB).
CSIRT sektorowy: Zespół reagowania na incydenty dla jednego sektora lub podsektora, ustanowiony przez organ właściwy. To do niego podmiot kluczowy lub ważny zgłasza incydent poważny.
Europejska Rada Ochrony DanychEROD: Organ Unii Europejskiej, w którym zasiadają szefowie krajowych organów ochrony danych, w Polsce Prezes UODO. Wydaje wytyczne do RODO, także o zgłaszaniu naruszeń ochrony danych.
Organ właściwy do spraw cyberbezpieczeństwa: Minister albo inny organ, któremu ustawa o KSC przypisała sektor. Nadzoruje podmioty kluczowe i ważne w tym sektorze i ustanawia dla niego CSIRT sektorowy.
OWASP: Open Worldwide Application Security Project, międzynarodowa organizacja non-profit, która udostępnia otwarte materiały o bezpieczeństwie aplikacji. Najbardziej znana z listy OWASP Top 10.
Przestrzeń podmiotu w S46: Konto podmiotu kluczowego lub ważnego w S46 Cyber Hub, w którym pracują wszyscy jego użytkownicy. Powstaje automatycznie po wpisie do wykazu, a jej dane pochodzą z wpisu.
System S46S46: System teleinformatyczny ministra właściwego do spraw informatyzacji, przez który zgłasza się incydenty i prowadzi wykaz podmiotów. Nazwa S46 jest potoczna, od numeru artykułu.
Urząd Ochrony Danych OsobowychUODO: Urząd obsługujący Prezesa UODO, który jest organem nadzorczym w rozumieniu RODO. Tutaj pojawia się przy incydentach, które są też naruszeniem ochrony danych osobowych.

Podmioty i role

Audyt bezpieczeństwa: Sprawdzenie, czy system informacyjny używany do świadczenia usługi spełnia wymagania ustawy o KSC. Podmiot kluczowy przeprowadza go na własny koszt co najmniej raz na trzy lata.
Dostawca usług zarządzanych w zakresie cyberbezpieczeństwa: Firma, która na podstawie umowy prowadzi dla podmiotu działania z zakresu zarządzania ryzykiem, na przykład obsługę incydentów, testy lub audyty. Umowa z nią zastępuje własny zespół.
Dyrektor ds. bezpieczeństwa informacjiCISO: Osoba odpowiedzialna w organizacji za program bezpieczeństwa informacji, zwykle raportująca zarządowi o stanie zabezpieczeń i ryzykach.
Inspektor ochrony danychIOD: Osoba wyznaczona przez administratora lub podmiot przetwarzający do zadań z RODO. Tutaj pojawia się przy incydentach z danymi osobowymi i przy łączeniu tej funkcji z rolą pełnomocnika.
Kierownik podmiotu: Osoba albo organ kierujący podmiotem kluczowym lub ważnym, na przykład zarząd spółki. Odpowiada za cyberbezpieczeństwo podmiotu także wtedy, gdy zadania powierzył innej osobie.
Osoba do kontaktu: Osoba wyznaczona przez podmiot kluczowy lub ważny do kontaktów z CSIRT, organami i innymi podmiotami krajowego systemu cyberbezpieczeństwa. Zwykle co najmniej dwie.
Pełnomocnik ds. cyberbezpieczeństwa: Osoba, której kierownik podmiotu powierza zadania z zakresu cyberbezpieczeństwa. To nazwa praktyki: ustawa o KSC nie tworzy takiej funkcji ani nie określa jej zadań.
Podmiot kluczowy: Podmiot z sektorów ustawy o KSC, który ze względu na wielkość albo rodzaj działalności ma najszersze obowiązki, w tym audyt bezpieczeństwa co najmniej raz na trzy lata.
Podmiot publiczny: Podmiot z sektora „podmioty publiczne” w załączniku nr 1 lub 2 do ustawy o KSC. Podmiot publiczny, który jest podmiotem ważnym, wdraża SZBI według załącznika nr 4 do ustawy.
Podmiot ważny: Podmiot z sektorów ustawy o KSC, który spełnia jej kryteria, ale nie jest podmiotem kluczowym. Wdraża SZBI i zgłasza incydenty poważne tak jak podmiot kluczowy.

Zdarzenia i incydenty

Incydent: Zdarzenie, które szkodzi albo może zaszkodzić bezpieczeństwu systemów informacyjnych. Zgłaszać trzeba nie każdy incydent, tylko incydent poważny.
Incydent krytyczny: Incydent o znacznych skutkach dla bezpieczeństwa publicznego, gospodarki, instytucji publicznych albo życia i zdrowia ludzi. Klasyfikuje go właściwy CSIRT krajowy.
Incydent poważny: Incydent, który poważnie zakłóca usługę, przynosi podmiotowi straty finansowe albo wyrządza poważną szkodę innym. Podmiot kluczowy lub ważny zgłasza go do CSIRT sektorowego.
Wczesne ostrzeżenie: Pierwsze zgłoszenie incydentu poważnego do CSIRT sektorowego, niezwłocznie i najpóźniej w ciągu 24 godzin od wykrycia. Pełne zgłoszenie idzie w ciągu 72 godzin.

Zagrożenia i podatności

Atak man-in-the-middle: Atak, w którym napastnik podszywa się pod serwer i może przechwycić lub zmodyfikować przesyłane dane, na przykład dane uwierzytelniania i dokumenty.
Bezpieczeństwo pamięci: Ochrona programu przed odczytem, zapisem albo zwalnianiem pamięci w niezamierzony sposób. Według CISA i NSA błędy pamięci to najczęstszy typ ujawnianych podatności.
Botnet: Sieć zainfekowanych urządzeń, którym operator zdalnie wydaje polecenia, np. dalszego rozprzestrzeniania się lub ataku na wskazane cele.
Broker dostępu początkowego: Przestępca, który zdobywa dostęp do cudzej sieci i sprzedaje go dalej innym grupom, na przykład afiliantom ransomware.
ClickFix: Technika oparta na socjotechnice, w której ofiara jest nakłaniana do uruchomienia na własnym komputerze poleceń podanych przez napastnika.
Clickjacking: Atak polegający na osadzeniu panelu sterowania w elemencie iframe na złośliwej stronie i nakłonieniu użytkownika do kliknięcia przycisków.
CSRF: Atak, w którym zalogowany użytkownik, zwykle po kliknięciu podsuniętego linku, nieświadomie wykonuje w aplikacji internetowej akcję wybraną przez atakującego, z własnymi uprawnieniami.
CVE: Common Vulnerabilities and Exposures: publiczny katalog znanych podatności. Każda dostaje identyfikator w postaci CVE-rok-numer, po którym szuka się poprawek i ostrzeżeń.
CVSS: Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
CWE: Common Weakness Enumeration: katalog typów słabości w oprogramowaniu i sprzęcie, z których biorą się podatności. CVE mówi, która podatność, CWE mówi, jaki rodzaj błędu ją spowodował.
Exploit: Program, dane lub polecenia, które wykorzystują podatność w oprogramowaniu, żeby obejść zabezpieczenia systemu. Często jest pierwszym etapem szerszego ataku.
IDOR: Podatność aplikacji, która nie sprawdza, czy użytkownik ma prawo do wskazanego obiektu. Po zmianie identyfikatora w adresie lub parametrze atakujący dostaje cudze dane.
Katalog KEVKEV: Known Exploited Vulnerabilities: prowadzona przez CISA lista podatności, o których wiadomo, że są wykorzystywane w atakach. Wpis do katalogu to sygnał, żeby łatać w pierwszej kolejności.
Odmowa usługiDoS: Stan, w którym urządzenie przestaje działać normalnie. W tej podatności zdalny atakujący powoduje nieoczekiwany restart zapory.
Path traversal: Typ podatności, w którym oprogramowanie niewłaściwie ogranicza ścieżkę dostępu do katalogu z ograniczonym dostępem.
Podatność: Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
Ransomware: Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.
Shadow AI: Korzystanie przez pracowników z zewnętrznych narzędzi sztucznej inteligencji bez zgody i nadzoru organizacji, na przykład wklejanie dokumentów firmy do publicznego czatu z prywatnego konta.
SQL injection: Podatność, która pozwala wstrzyknąć do bazy danych własne zapytania, w opisanym przypadku bez uwierzytelnienia.
Use-after-free: Błąd zarządzania pamięcią: program odwołuje się do miejsca w pamięci po jego zwolnieniu.
Wstrzykiwanie poleceń: Podatność, w której atakujący wprowadza własne polecenia systemowe do działania urządzenia, np. przez spreparowaną nazwę pliku.
XML External EntityXXE: Podatność, w której parser XML przetwarza encje zewnętrzne ze spreparowanego pliku, co pozwala atakującemu odczytać dowolne pliki z systemu ofiary.
XSS: Atak, w którym aplikacja internetowa odsyła przeglądarce użytkownika skrypt wstawiony przez atakującego. Skrypt działa jak część zaufanej strony i może odczytać na przykład pliki cookie sesji.
Zdalne wykonanie koduRCE: Rodzaj podatności pozwalający atakującemu wykonać dowolne polecenia na urządzeniu, w tych przypadkach bez wcześniejszego uwierzytelnienia.
Zero-day: Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.

Zarządzanie bezpieczeństwem

Analiza wpływu na działalnośćBIA: Business impact analysis: ocena, co się stanie z usługą po 4 godzinach, dobie i tygodniu bez danego procesu lub systemu. Z niej wynikają czasy odtworzenia i kolejność, w jakiej pisze się plany ciągłości działania.
Ciągłość działaniaBCP: Zdolność podmiotu do świadczenia usługi mimo awarii albo ataku. Ustawa wymaga planów ciągłości działania, które są dokumentowane, testowane i utrzymywane.
Docelowy czas odtworzeniaRTO: Recovery time objective: czas od decyzji o uruchomieniu planu do chwili, gdy proces albo system ma znów działać, choćby w ograniczonym zakresie. Musi być krótszy niż maksymalny tolerowany okres zakłócenia.
Docelowy punkt odtworzeniaRPO: Recovery point objective: ile danych, liczonych w czasie, podmiot godzi się stracić. RPO równe dobie oznacza kopię zapasową raz dziennie; RPO równe godzinie wymaga replikacji.
ISAC: Information Sharing and Analysis Center, centrum wymiany i analizy informacji: organizacja, w której podmioty jednego sektora dzielą się informacjami o zagrożeniach, podatnościach i incydentach.
Łańcuch dostaw: Dostawcy sprzętu, oprogramowania i usług ICT, od których zależy świadczenie usługi. Ich bezpieczeństwo podmiot uwzględnia w swoim zarządzaniu ryzykiem.
Maksymalny tolerowany okres zakłóceniaMTPD: Maximum tolerable period of disruption: czas, po którym skutki braku procesu lub usługi stają się dla podmiotu nieakceptowalne. Docelowy czas odtworzenia musi być od niego krótszy.
Minimalny poziom działania w trybie zastępczymMBCO: Minimum business continuity objective: ile usługi podmiot musi świadczyć w czasie zakłócenia, zanim wróci do normalnego trybu. Mówi, czego nie trzeba odtwarzać od razu.
NIST Cybersecurity FrameworkCSF: Dobrowolne ramy amerykańskiego NIST opisujące rezultaty zarządzania ryzykiem cyberbezpieczeństwa w sześciu funkcjach, od Govern po Recover. Same nie wskazują, jak te rezultaty osiągnąć.
Plan awaryjnyISCP: Plan na pierwsze godziny incydentu: kto decyduje, co odłączyć, kogo powiadomić i kto liczy termin zgłoszenia do CSIRT. Ustawa o KSC wymienia go obok planu ciągłości działania i planu odtworzenia.
Plan odtworzenia działalnościDRP: Disaster recovery plan: jak odbudować systemy informacyjne po zdarzeniu, które przerosło własne siły podmiotu. W jakiej kolejności, z których kopii, na jakim sprzęcie i kto to robi.
Rekomendacja Pełnomocnika: Dokument Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa o środkach ochrony albo o stosowaniu konkretnego produktu lub usługi ICT. Publikowany w BIP; rekomendacje o środkach ochrony są dobrowolne.
Secure by design: Podejście, w którym producent projektuje produkt tak, by był bezpieczny od początku i domyślnie, zamiast zostawiać klientowi łatanie i utwardzanie konfiguracji.
System zarządzania bezpieczeństwem informacjiSZBI: Uporządkowany sposób, w jaki podmiot kluczowy lub ważny zarządza bezpieczeństwem systemu używanego do świadczenia usługi, od szacowania ryzyka po obsługę incydentów.
Szacowanie ryzyka: Proces, w którym podmiot ustala, co może zagrozić jego systemom, jak bardzo jest to prawdopodobne i jakie byłyby skutki. W praktyce mówi się też „analiza ryzyka”.
Wykaz komponentów oprogramowaniaSBOM: Software bill of materials: formalny spis bibliotek i komponentów, z których zbudowano program, razem z ich pochodzeniem. Pozwala szybko sprawdzić, czy produkt zawiera podatny komponent.
Wykaz podmiotów kluczowych i ważnych: Rejestr podmiotów kluczowych i ważnych prowadzony w systemie S46. Służy ich identyfikacji, wymianie informacji o incydentach i nadzorowi.
Zarządzanie ryzykiem: To, co podmiot robi z oszacowanym ryzykiem: dobiera zabezpieczenia, a ryzyko, którego nie ogranicza, akceptuje świadomie.

Technika

Centrum operacji bezpieczeństwaSOC: Zespół lub usługa, która całą dobę monitoruje systemy firmy, wykrywa podejrzane zdarzenia i uruchamia reakcję na incydent.
DLL side-loading: Podatność, w której aplikacja ładuje biblioteki DLL z przeszukiwanego katalogu bez kontroli, więc napastnik może podłożyć tam własny plik.
Elektroniczna dokumentacja medycznaEDM: Dokumentacja pacjenta prowadzona w postaci elektronicznej: recepty, skierowania, karty i wyniki, zwykle w systemie dostawcy, który obsługuje wiele placówek naraz. Stąd skala wycieków u takich dostawców.
Hypervisor: Warstwa systemowa hosta, która zarządza maszynami wirtualnymi; jej przejęcie oznacza kontrolę nad całym serwerem wirtualizacji.
Logowanie jednokrotneSSO: Single sign-on: jedno konto i jedno uwierzytelnienie, zwykle u firmowego dostawcy tożsamości, dają dostęp do wielu aplikacji bez osobnych haseł do każdej z nich.
Losowe rozmieszczenie przestrzeni adresowejASLR: Address space layout randomization: zabezpieczenie systemu operacyjnego, które losowo rozmieszcza w pamięci kluczowe obszary procesu, przez co błąd pamięci trudniej zamienić w działający exploit.
Nazwa punktu dostępowegoAPN: Access Point Name: brama, przez którą urządzenie z kartą SIM łączy się z inną siecią. Prywatny APN operatora komórkowego łączy modemy i sterowniki w telemetrii OT bez wychodzenia do internetu.
Panel operatorski HMIHMI: Human-Machine Interface: ekran albo aplikacja, przez które operator odczytuje stan procesu i wydaje polecenia sterownikom.
Protokół STUN: Protokół pozwalający urządzeniu ustalić swój publiczny adres IP i port. Jego ruch jest częsty w sieciach firmowych, np. z komunikatorów i przeglądarek.
Protokół VNCVNC: Virtual Network Computing: protokół zdalnego pulpitu, przez który widać i obsługuje ekran innego urządzenia, np. panelu HMI. CERT Polska ocenia jego uwierzytelnianie jako archaiczne lub w ogóle nieustawione.
Rozruch sieciowy PXEPXE: Uruchamianie serwera lub innego urządzenia z kodu pobranego z sieci lokalnej zamiast z dysku. Obsługuje je firmware UEFI.
Standardy FIPSFIPS: Federal Information Processing Standards: standardy przetwarzania informacji publikowane przez amerykański NIST dla administracji federalnej USA. W nazwach produktów oznaczają wersję z kryptografią zgodną z FIPS 140.
Sterownik PLCPLC: Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem.
Strefa DMZDMZ: Wydzielony segment sieci między siecią wewnętrzną a światem zewnętrznym. Stoją w nim usługi, które muszą być dostępne z zewnątrz, a zapora przepuszcza dalej tylko to, co niezbędne.
System BMSBMS: Building Management System: automatyka budynku, która steruje wentylacją, ogrzewaniem, oświetleniem, windami i kontrolą dostępu. Rodzaj OT, z własnymi sterownikami i zdalnym dostępem serwisu.
System EDREDR: Endpoint Detection and Response: oprogramowanie na serwerach i komputerach, które stale obserwuje, co się na nich dzieje, wykrywa podejrzane działania i pozwala na nie zareagować, na przykład odciąć komputer od sieci.
System SCADASCADA: Supervisory Control and Data Acquisition: system nadzoru i zbierania danych, przez który dyspozytor widzi rozproszoną instalację, na przykład sieć wodociągową, i nią steruje.
System SIEMSIEM: Security Information and Event Management: system, który zbiera w jednym miejscu logi z wielu systemów i urządzeń, żeby można je było analizować i wykrywać w nich ślady incydentów.
System XDRXDR: Extended Detection and Response: rozwinięcie EDR, które łączy zdarzenia z komputerów, sieci i chmury, żeby wykrywać ataki przechodzące przez kilka systemów i reagować na nie w jednym miejscu.
Szyfrowanie całego nośnikaFDE: Szyfrowanie obejmujące cały nośnik danych, a nie tylko pojedyncze pliki.
Technologia operacyjnaOT: Systemy, które sterują procesami fizycznymi: sterowniki, SCADA, automatyka w wodociągach i energetyce. W tekstach zostaje angielski skrót OT.
UEFI: Firmware, które uruchamia komputer lub serwer, zanim załaduje się system operacyjny. Większość producentów buduje je na otwartym kodzie EDK II.
Urząd certyfikacji: Podmiot, który wystawia i odwołuje certyfikaty potwierdzające tożsamość serwera, firmy albo osoby. Przeglądarki i systemy ufają certyfikatom tylko od urzędów, które mają na swojej liście.
Urządzenie UTMUTM: Unified Threat Management: jedno urządzenie, które łączy zaporę sieciową z innymi zabezpieczeniami, na przykład wykrywaniem i usuwaniem złośliwego oprogramowania oraz blokowaniem podejrzanego skanowania sieci.
Uwierzytelnianie wieloskładnikoweMFA: Logowanie, które wymaga więcej niż jednego składnika, na przykład hasła i kodu z aplikacji. Ustawa o KSC wymienia je wśród środków bezpieczeństwa.
Wirtualizacja zagnieżdżona: Funkcja pozwalająca uruchomić kolejny hypervisor i maszynę wirtualną wewnątrz istniejącej maszyny wirtualnej, wykorzystywana m.in. w chmurach publicznych i środowiskach CI/CD.
Wirtualna sieć prywatnaVPN: Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.
Zapobieganie wyciekom danychDLP: Data loss prevention: narzędzie, które rozpoznaje w przesyłanych i przechowywanych danych informacje chronione, na przykład numery PESEL, i blokuje albo zgłasza ich nieuprawnione wysłanie.
Zapora aplikacji webowejWAF: Zapora filtrująca ruch kierowany do aplikacji webowej; może blokować żądania o określonych wzorcach adresów URL.
Zapora sieciowa: Urządzenie albo program, które przepuszczają lub blokują ruch sieciowy według reguł. Oddzielają na przykład sieć biurową od sieci sterowników.
Zdalny dostęp: Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał.
Zero trust: Model bezpieczeństwa, w którym nikt nie dostaje zaufania z samego faktu bycia w sieci firmowej: każdy dostęp do zasobu wymaga uwierzytelnienia i autoryzacji użytkownika i urządzenia.