Tag: Łańcuch dostaw
Artykuły
13 min czytania
Napastnik na serwerze SCADA o 1:40 w nocy. Gdzie odciąć dostęp, gdy w ciepłowni nie ma osobnej stacji inżynierskiej?
Scenariusz: włamanie do integratora, jeden serwer do wszystkiego, styczniowa noc. Pięć punktów odcięcia, ich koszt dla procesu i kto decyduje.
13 min czytania
Czy podmiot kluczowy lub ważny potrzebuje SOC-u? Informatyk, własny zespół czy usługa i ile to kosztuje
Ustawa o KSC wymaga monitorowania w trybie ciągłym, ale nie wymaga SOC-u. Kiedy wystarczy informatyk z Wazuhem, kiedy usługa zewnętrzna i co da AI.
12 min czytania
Stara SCADA, kilku serwisantów i mały budżet. Od czego zacząć zabezpieczanie automatyki i skąd wziąć pieniądze?
Podatności boneIO, przestarzała automatyka w wodociągach i ciepłowniach, osobne umowy z kilkoma serwisami. Co ustawa o KSC mówi o kosztach i jakie są dotacje.
13 min czytania
E-dzienniki 17 tysięcy szkół w rękach dwóch firm. Na czym polega ryzyko koncentracji i co planuje państwo?
Dane 5,4 mln uczniów trzymają dwa komercyjne e-dzienniki. Co już się stało, dlaczego to ryzyko systemowe i na czym stanęła ustawa o eDzienniku po wecie.
11 min czytania
Czy da się wyjść z wiecznego łatania? Secure by design i pytania, które warto zadać dostawcy oprogramowania
Od pół wieku wiemy, jak projektować bezpieczne systemy, a wciąż kupujemy produkty, które sami łatamy. Co daje secure by design i jak wymagać go przy zakupie?
19 min czytania
Dostawcy spółki wod-kan pod ustawą o KSC: jak ich sprawdzać, co wpisać do aneksu i jak to pogodzić z Pzp?
Integrator automatyki, serwis SCADA, biling, telemetria: od nich zależy woda w kranie. Jak spółka wod-kan ocenia dostawców, aneksuje umowy i kupuje według Pzp.
13 min czytania
Dane pacjentów u jednego dostawcy. Co ustawa o KSC wymaga od placówki medycznej po MyDr, Medyc, FELG i Enel-Med?
18,8 mln osób w jednym wycieku, cztery kolejne w dwa miesiące. Kto w ochronie zdrowia podlega ustawie o KSC, czego wymaga art. 8 i co sprawdzić u dostawcy EDM?
8 min czytania
Lokalne modele językowe w pracy nad bezpieczeństwem. Które pobrać, do czego i w jakich granicach prawa
Lokalny model AI zamiast publicznego czatu: przegląd kodu, konfiguracji i CVE. Które pobrać, co wolno zadaniom ofensywnym, czym jest CVP Anthropic.
15 min czytania
Rekomendacja Pełnomocnika nr 2026-67a-9 punkt po punkcie. Jak sprawdzić własny podmiot według katalogu ministerstwa?
Osiem obszarów i jedno zastrzeżenie o dobrowolności. Jakie pytanie zadaję w każdym obszarze, jakiego dowodu szukam i jak zapisać to, czego nie wdrażamy.
8 min czytania
Duński rejestr CPR wyciekł przez konto dwuosobowej firmy. Co sprawdzić u siebie według ustawy o KSC?
Dane 8,8 mln osób wyciekły z duńskiego rejestru przez legalny dostęp małej firmy i hasło „123456”. Co mówi na ten temat art. 8 ustawy o KSC?
10 min czytania
Kto w firmie tłumaczy cyberbezpieczeństwo z języka IT na język zarządu?
Aktualizacje, ochrona komputerów i wymiana sprzętu brzmią jak sprawy działu IT. Jak pełnomocnik ds. cyberbezpieczeństwa zamienia je w decyzje zarządu.
15 min czytania
Ataki na urządzenia OT. Jak napastnicy przestawiają proces i jak ograniczyć to ryzyko według ustawy o KSC i NIS2?
Panel w internecie, podatność w firmware, protokół bez uwierzytelniania, stacja inżynierska: cztery drogi do sterownika na przykładach i zabezpieczenia z art. 8
12 min czytania
Szkoła w ustawie o KSC. Co musi zrobić dyrektor i jak ująć e-dziennik i Classroom w SZBI?
Publiczna szkoła samorządowa jest podmiotem ważnym. Co z tego wynika dla dyrektora do 3 kwietnia 2027 r. i co zrobić z e-dziennikiem i platformą w chmurze.
7 min czytania
Których dostawców wpisać do wykazu KSC jako dostawcę usług zarządzanych w zakresie cyberbezpieczeństwa?
Dostawcę w wykazie KSC wpisuje się tylko przy umowie na zadania z art. 8 lub art. 11. Helpdesk, serwerownia, pentest, audyt, kancelaria, spółka z grupy: kogo?
6 min czytania
Czy ustawa o KSC wymaga powołania pełnomocnika ds. cyberbezpieczeństwa?
Nie wymaga. Ustawa o KSC nakazuje kierownikowi przydzielić zadania i nadzorować ich wykonanie, a podmiotowi powołać struktury albo zawrzeć umowę.
17 min czytania
Łańcuch dostaw w ustawie o KSC: czego wymagać od dostawców i co wpisać do umowy?
Ustawa o KSC nie obejmuje Twoich dostawców, ale nakazuje Ci zarządzać ryzykiem, które wnoszą. Co wpisać do umowy i co zrobić z umowami już zawartymi?
13 min czytania
Shadow AI w podmiocie kluczowym i ważnym. Jak ująć ChatGPT w SZBI, zamiast go zakazywać?
Pracownicy wklejają dane firmy do publicznych modeli AI. Ustawa o KSC tego nie zakazuje, ale nakazuje zarządzać ryzykiem. Jak to zrobić i co pokazać audytorowi.
12 min czytania
Systemy OT w firmie. Skąd bierze się ryzyko i co pełnomocnik ds. cyberbezpieczeństwa ma powiedzieć zarządowi?
Sterowniki, SCADA i panele HMI w energetyce, wod-kan, produkcji i szpitalach. Incydenty z Polski i ze świata, ryzyko po integratorach i raport dla zarządu.
8 min czytania
Skąd zarząd ma wiedzieć, że jego firma ma odpowiednie zabezpieczenia?
Ustawa o KSC nie daje listy kontrolnej, tylko nakazuje dobrać środki do ryzyka. Jak zarząd sprawdza, że to wystarcza, i jak to przedstawi audytorowi?
Aktualności
Streszczenie
Protest w Warszawie przeciwko umowie MON z Palantirem, gdy armie Szwajcarii, Niemiec i Danii odrzucają tę firmę
8 listopada 2026 r. w Warszawie protestowano przeciwko negocjowanej umowie MON na Maven Smart System Poland i żądano niezależnego audytu. Palantir odpowiada, że system działa w infrastrukturze wojska, a firma nie ma kluczy ani samodzielnego dostępu do danych.
Źródło: CyberDefence24
Streszczenie
CERT Polska opisał podatność w bibliotece KAMSOFT ZSIRep CLIENT, która pozwala podszyć się pod serwer
CERT Polska ujawnił podatność CVE-2026-113618 w bibliotece KAMSOFT ZSIRep CLIENT: biblioteka akceptuje dowolny certyfikat serwera. Poprawki wydano w wersji biblioteki i w pięciu produktach KAMSOFT.
Źródło: CERT Polska
Streszczenie
Przychodnie zgłaszają cyberataki na systemy MedicalData i EuroSoft, doszło do naruszeń danych
Przychodnie podstawowej opieki zdrowotnej, klinika i stacja pogotowia informują o naruszeniach danych po atakach na dostawców MedicalData oraz EuroSoft (system Mantis). Pełna skala obu incydentów nie jest znana.
Źródło: CyberDefence24
Streszczenie
Według WIRED agent Claude Code z prywatnego konta pracownika Accenture działał dwa miesiące w sieci Pentagonu
Anonimowe źródła WIRED mówią, że agent najwyraźniej wysłał dane logowania i mapę sieci NIPRNet na zewnętrzną stronę. Accenture odpowiada, że zarzuty zbadano niezależnie i są bezpodstawne, a Departament Obrony USA nie komentuje sprawy.
Źródło: WIRED
Streszczenie
CERT Polska opisał podatność Stored XSS w KGS Software tia Viewer, poprawka jest w wersji 1.2.8
CERT Polska opublikował 27 października 2026 r. opis podatności CVE-2026-105987 w KGS Software tia Viewer. Dotyczy wszystkich wersji przed 1.2.8 i pozwala wstrzyknąć kod JavaScript przez API adnotacji.
Źródło: CERT Polska
Streszczenie
Klucze prywatne ośmiu pośrednich urzędów certyfikacji eMudhra dało się odtworzyć z samych certyfikatów
Między 17 a 20 października 2026 r. Mozilla, Google, Apple i Microsoft zablokowały te urzędy, a Mozilla i Chrome wycofują zaufanie do głównego certyfikatu emSign ECC Root CA - G3. Programy, które nie sprawdzają odwołań certyfikatów, potrzebują aktualizacji.
Źródło: we-have-a-problem.com
Streszczenie
Wyciek 421 tysięcy e-maili AfD po włamaniu do dostawcy hostingu partii
Nieznani sprawcy opublikowali 421 179 wiadomości z dziesięciu skrzynek niemieckiej AfD. Partia potwierdza wrześniowy atak na swojego dostawcę hostingu i mówi o starych skrzynkach, a niemieckie media znalazły w zbiorze korespondencję z 2026 r.
Źródło: CyberDefence24
Streszczenie
Cyberatak na głównego wykonawcę tunelu pod Bałtykiem spowolnił budowę, prace wracają stopniowo
Atak na systemy IT konsorcjum FLC, które buduje tunel Fehmarnbelt między Danią a Niemcami, wyłączył karty dostępu i unieruchomił statki. Według Sund & Bælt część prac już wznowiono, a sprawę prowadzi duńska policja.
Źródło: Sund & Bælt
Materiał własny
Pełnomocnik rządu wydał katalog podstawowych środków cyberbezpieczeństwa dla podmiotów KSC
Rekomendacja nr 2026-67a-9 z 15 października 2026 r. nie jest kierowana do jednej branży. Obejmuje osiem obszarów, od szacowania ryzyka i MFA po kopie zapasowe 3-2-1, łańcuch dostaw i audyt.
Źródło: Ministerstwo Cyfryzacji
Streszczenie
Atakujący przez FortiManager wykradli konfiguracje ponad 500 zapór FortiGate i wdrożyli implant PEERSTITCH
Unit 42 opisał włamanie do dostawcy usług zarządzanych z branży telekomunikacyjnej: przez podatność w FortiManager atakujący zdobyli konfiguracje i klucze dla ponad 500 zapór, a potem wdrożyli implant działający w pamięci FortiOS.
Źródło: Palo Alto Networks Unit 42
Streszczenie
IQ Dental potwierdziła nieuprawniony dostęp do danych pacjentów 36 placówek
Dostawca oprogramowania dla gabinetów stomatologicznych poinformował klientów, że dane osobowe pacjentów i dane o wizytach mogły zostać wykradzione. Według zarządu spółki incydent dotyczy 36 placówek.
Źródło: Niebezpiecznik
Streszczenie
Wyciek z duńskiego rejestru ludności CPR dotyczy 8,8 mln osób, sprawcy użyli dostępu prywatnej firmy
Duński Centralny Rejestr Ludności (CPR) potwierdził wyciek imion, adresów i numerów CPR około 8,8 mln osób. Sprawcy wykorzystali legalny dostęp prywatnej firmy do systemu rejestru.
Źródło: BleepingComputer
Streszczenie
FELG Software potwierdza atak na FELG Dent (FELGDENT), sprawcy mówią o danych 2,4 mln pacjentów stomatologicznych
Producent programu dla gabinetów stomatologicznych zawiadomił klientów 1 października 2026 r., że sprawca mógł uzyskać dostęp do powierzonych mu danych pacjentów i żąda okupu. Według wstępnych szacunków firmy incydent mógł objąć około 2 mln rekordów, analiza logów trwa.
Źródło: Sekurak
Streszczenie
Fakturownia.pl padła ofiarą włamania, mogły wyciec dane kont, kontrahentów i faktur
Sprawca o pseudonimie „Fingerprint” włamał się do serwerów Fakturownia.pl. Firma wykryła nieuprawniony dostęp 28 września 2026 r. i podała, że mogły zostać wykradzione dane kont, kontrahentów, płatności oraz część faktur.
Źródło: Zaufana Trzecia Strona
Streszczenie
Przez lukę SQL injection w systemie Medyc firmy Qbusoft wyciekły dane pacjentów ośrodka w Inowrocławiu
Atakujący wykorzystał podatność w interfejsie oprogramowania Medyc i wyniósł archiwum bazy danych. Ośrodek w Inowrocławiu uznaje za udowodnione pobranie danych identyfikacyjnych i kontaktowych pacjentów, a za bardzo prawdopodobne także wypisów ze szpitala.
Źródło: Odwykowo-Psychiatryczny Ośrodek Leczniczy w Inowrocławiu