Tag: Szacowanie ryzyka
Artykuły
10 min czytania
Nowy podręcznik NIST dla kadry zarządzającej. Co z niego wziąć do SZBI według ustawy o KSC i ISO/IEC 27001?
NIST SP 800-100r1 to projekt, nie wymaganie. Co daje kierownikowi podmiotu, jak ma się do ISO/IEC 27001 i art. 8 ustawy o KSC i gdzie łatwo się pomylić.
13 min czytania
Napastnik na serwerze SCADA o 1:40 w nocy. Gdzie odciąć dostęp, gdy w ciepłowni nie ma osobnej stacji inżynierskiej?
Scenariusz: włamanie do integratora, jeden serwer do wszystkiego, styczniowa noc. Pięć punktów odcięcia, ich koszt dla procesu i kto decyduje.
13 min czytania
Czy podmiot kluczowy lub ważny potrzebuje SOC-u? Informatyk, własny zespół czy usługa i ile to kosztuje
Ustawa o KSC wymaga monitorowania w trybie ciągłym, ale nie wymaga SOC-u. Kiedy wystarczy informatyk z Wazuhem, kiedy usługa zewnętrzna i co da AI.
12 min czytania
Stara SCADA, kilku serwisantów i mały budżet. Od czego zacząć zabezpieczanie automatyki i skąd wziąć pieniądze?
Podatności boneIO, przestarzała automatyka w wodociągach i ciepłowniach, osobne umowy z kilkoma serwisami. Co ustawa o KSC mówi o kosztach i jakie są dotacje.
13 min czytania
E-dzienniki 17 tysięcy szkół w rękach dwóch firm. Na czym polega ryzyko koncentracji i co planuje państwo?
Dane 5,4 mln uczniów trzymają dwa komercyjne e-dzienniki. Co już się stało, dlaczego to ryzyko systemowe i na czym stanęła ustawa o eDzienniku po wecie.
11 min czytania
Czy da się wyjść z wiecznego łatania? Secure by design i pytania, które warto zadać dostawcy oprogramowania
Od pół wieku wiemy, jak projektować bezpieczne systemy, a wciąż kupujemy produkty, które sami łatamy. Co daje secure by design i jak wymagać go przy zakupie?
10 min czytania
AI w sieci OT w 16 minut. Co test Booz Allen zmienia w szacowaniu ryzyka podmiotu kluczowego i ważnego?
Modele AI w laboratorium przeszły od brzegu sieci do sterowników i poruszyły ramieniem robota. Co z tego testu wynika dla art. 8 ustawy o KSC, a co nie.
8 min czytania
Lokalne modele językowe w pracy nad bezpieczeństwem. Które pobrać, do czego i w jakich granicach prawa
Lokalny model AI zamiast publicznego czatu: przegląd kodu, konfiguracji i CVE. Które pobrać, co wolno zadaniom ofensywnym, czym jest CVP Anthropic.
15 min czytania
Rekomendacja Pełnomocnika nr 2026-67a-9 punkt po punkcie. Jak sprawdzić własny podmiot według katalogu ministerstwa?
Osiem obszarów i jedno zastrzeżenie o dobrowolności. Jakie pytanie zadaję w każdym obszarze, jakiego dowodu szukam i jak zapisać to, czego nie wdrażamy.
15 min czytania
Plan do 3 kwietnia 2027 r. dla zarządu. Co wynika z rekomendacji Pełnomocnika rządu ds. cyberbezpieczeństwa?
Rekomendacja 2026-67a-9 to katalog środków. Które z nich są obowiązkiem z ustawy o KSC, co musi istnieć 3 kwietnia 2027 r. i jak ułożyć pięć miesięcy pracy?
10 min czytania
Kto w firmie tłumaczy cyberbezpieczeństwo z języka IT na język zarządu?
Aktualizacje, ochrona komputerów i wymiana sprzętu brzmią jak sprawy działu IT. Jak pełnomocnik ds. cyberbezpieczeństwa zamienia je w decyzje zarządu.
15 min czytania
Ataki na urządzenia OT. Jak napastnicy przestawiają proces i jak ograniczyć to ryzyko według ustawy o KSC i NIS2?
Panel w internecie, podatność w firmware, protokół bez uwierzytelniania, stacja inżynierska: cztery drogi do sterownika na przykładach i zabezpieczenia z art. 8
17 min czytania
Łańcuch dostaw w ustawie o KSC: czego wymagać od dostawców i co wpisać do umowy?
Ustawa o KSC nie obejmuje Twoich dostawców, ale nakazuje Ci zarządzać ryzykiem, które wnoszą. Co wpisać do umowy i co zrobić z umowami już zawartymi?
17 min czytania
SZBI według ustawy o KSC i NIS2. Co zmienić w systemie, który firma już ma?
Certyfikat ISO/IEC 27001 to dobry start, ale nie dowód zgodności z ustawą o KSC. Co zwykle trzeba poprawić w SZBI i jakie błędy widzę przy wdrożeniach.
13 min czytania
Shadow AI w podmiocie kluczowym i ważnym. Jak ująć ChatGPT w SZBI, zamiast go zakazywać?
Pracownicy wklejają dane firmy do publicznych modeli AI. Ustawa o KSC tego nie zakazuje, ale nakazuje zarządzać ryzykiem. Jak to zrobić i co pokazać audytorowi.
12 min czytania
Systemy OT w firmie. Skąd bierze się ryzyko i co pełnomocnik ds. cyberbezpieczeństwa ma powiedzieć zarządowi?
Sterowniki, SCADA i panele HMI w energetyce, wod-kan, produkcji i szpitalach. Incydenty z Polski i ze świata, ryzyko po integratorach i raport dla zarządu.
8 min czytania
Skąd zarząd ma wiedzieć, że jego firma ma odpowiednie zabezpieczenia?
Ustawa o KSC nie daje listy kontrolnej, tylko nakazuje dobrać środki do ryzyka. Jak zarząd sprawdza, że to wystarcza, i jak to przedstawi audytorowi?
Aktualności
Streszczenie
Z Ośrodka Pomocy Społecznej w Wolinie skradziono pendrive'a z danymi osób pobierających świadczenia
Włamywacz skradł pendrive'a z danymi osób, którym OPS w Wolinie wypłacał świadczenia, mimo alarmu i agencji ochrony. Policja zatrzymała podejrzanego i odzyskała nośnik.
Źródło: CyberDefence24
Materiał własny
Pełnomocnik rządu wydał katalog podstawowych środków cyberbezpieczeństwa dla podmiotów KSC
Rekomendacja nr 2026-67a-9 z 15 października 2026 r. nie jest kierowana do jednej branży. Obejmuje osiem obszarów, od szacowania ryzyka i MFA po kopie zapasowe 3-2-1, łańcuch dostaw i audyt.
Źródło: Ministerstwo Cyfryzacji
Streszczenie
Krytyczna podatność w firmware kamer VIVOTEK pozwala przejąć urządzenie z uprawnieniami roota
CISA opisała podatność CVE-2026-22755 w firmware wielu modeli kamer VIVOTEK, oceniono ją na 10 w CVSS v3. Producent wydał poprawkę, a INCIBE-CERT podaje, że atak nie wymaga uwierzytelnienia.
Źródło: CISA ICS Advisories