Zasady Fabryki

{{>toc}}

**Strona nadrzędna:** [[Wiki|Zasady Fabryki]]

Źródło: `ZasadyRealizacji\zdarzenie-incydent-ciaglosc-kryzys.md` w drzewie FB. Wiki jest kopią do czytania – zmiany nanosimy w pliku źródłowym, nie tutaj.

---

Spisane 2026-08-24 z wykładu Grega i fragmentu książki „Być, trwać, rozwijać się. Czyli nietypowo o odporności organizacyjnej, zarządzaniu ciągłością działania, kryzysach i incydentach". Doktryna FB: normy opisują wycinki tego łańcucha, żadna nie opisuje go w całości, a w projektach wdrożeniowych mylą się właśnie granice między wycinkami.

## Czas pokoju

Punkt wyjścia to organizacja, która **działa**: ma ustanowiony system, rozwija go i doskonali – procedury, zakupy zabezpieczeń, sprzęt. Audytuje procesy, przegląda ryzyko i skuteczność zabezpieczeń, a wyniki wchodzą do przeglądu zarządzania.

Proces czasu pokoju biegnie **etapami następującymi po sobie**: identyfikacja i wartościowanie aktywów, szacowanie i ocena ryzyka (od zagrożeń do skutków), planowanie zabezpieczeń wobec wyniku oceny, wdrożenie, działanie systemu, ocena skuteczności. Etapy schodzą się na końcu w całość i w jej ocenę.

To jest **czas pokoju** – i wszystko, co robimy w projektach wdrożeniowych, dotyczy właśnie jego.

## Potem dzieje się coś

Wyjście z czasu pokoju nie jest natychmiastowym wejściem w tryb kryzysowy. Najpierw jest **zdarzenie** i dopiero analiza rozstrzyga, w jaki tryb wchodzimy.

### Zdarzenie

Wszystko, co jest odstępstwem od stanu normalnego, zaplanowanego, pożądanego. Dwa etapy, których **nie wolno sklejać**:

- **wykrycie** – system (cyber, ppoż, ochrony fizycznej, monitoringu parametrów) stwierdza stan inny niż dopuszczalny; sam fakt wykrycia niczego jeszcze nie uruchamia,

- **ujawnienie** – ktoś to zauważył i od tego momentu biegnie decyzja, co dalej.

Rejestracja zdarzeń jest wiedzą, nie biurokracją. Dziesięć potknięć o wystającą kostkę to dane do analizy zagrożeń – prawdopodobieństwo i możliwość wystąpienia skutku. Jedenaste potknięcie kończy się złamaniem. **Analizy robimy z bazy incydentów, a zdarzenia zostają nierejestrowane** – i to jest luka wspólna dla RODO, przepisów cyberbezpieczeństwa i praktyki organizacji.

Analiza zdarzenia korzysta z **opisów procesów biznesowych** – dzięki nim niemal natychmiast wiadomo, czego zdarzenie dotyka. Różnica przebiega w jednym miejscu: dotyka albo nie dotyka.

### Incydent – dwa typy

Incydent bezpieczeństwa informacji ma **dwa wymiary i oba muszą być w definicji organizacji**:

1. **Naruszenie zasad bezpieczeństwa, które sami zapisaliśmy.** Zdarzenie naruszyło zabezpieczenie realizujące naszą zasadę – w konsekwencji **nie możemy zagwarantować deklarowanego poziomu bezpieczeństwa**. Coś nie zagrało.

2. **Stało się coś, czego nie przewidzieliśmy.** Zdarzenie poza katalogiem zasad, bo zasady dla tego przypadku nie powstały.

**Definicja zawężona do punktu pierwszego jest niebezpieczna.** Zakłada, że zidentyfikowano wszystkie zagrożenia i wdrożono wszystkie możliwe zasady. Przy takim zapisie zdarzenie z drugiego typu wypada poza klasyfikację – mimo że skutek nastąpił.

Incydent trwa: bywa jednym momentem, bywa stanem ciągnącym się w czasie. W obu przypadkach ustala się **moment wykrycia, rozpoczęcia i zakończenia** – dla reakcji i dla materiału dowodowego.

Incydent jest obsługiwany i **eskalowany do poziomu wyżej**. Awarie, wypadki i naruszenia ochrony danych osobowych są incydentami w rozumieniu procesu zarządzania bezpieczeństwem – mają tylko własne nazwy.

## Ciągłość działania to zupełnie inne pytanie

BCP, a dokładniej **BCMS**, nie jest kolejnym poziomem obsługi incydentu. To odpowiedź na inne pytanie: **czy w danym czasie zdążymy z podniesieniem**.

Rozdzielenie, które w rozmowach ginie najczęściej:

<table style="width:100%">

<tr><th style="width:30%">Pojęcie</th><th style="width:70%">Czym jest</th></tr>

<tr><td><strong>BCMS</strong></td><td>system zarządzania ciągłością działania – poziom zarządczy, ustanowienie i utrzymanie</td></tr>

<tr><td><strong>BCP</strong></td><td>plan ciągłości działania – warstwa wykonawcza, operacyjna</td></tr>

<tr><td><strong>DRP</strong></td><td>plan odbudowy po awarii lub katastrofie; może być częścią obsługi incydentu, planu ciągłości albo zarządzania kryzysowego – <strong>nie jest przypisany do jednego z nich</strong></td></tr>

</table>

**SZBI jest wobec firmy usługowe.** Jest elementem pełnego BCMS i pełnego BCP, bo dane wyjściowe wyznacza **biznes**, nie bezpieczeństwo:

- biznes określa **MTPD / MAO** – maksymalny czas przestoju, po którym organizacja przestaje się podnieść,

- SZBI wylicza **własne podparametry** – RTO, RPO, a wcześniej **MBCO** – tak, aby zmieścić się w czasach wyznaczonych przez biznes.

**Nasze BIA dotyczy wyłącznie systemów ICT.** Cel i zakres analizy ustala się na wejściu i to on ogranicza ją do warstwy teleinformatycznej. BIA całej organizacji jest zadaniem biznesu, nie SZBI.

**BCP uruchamia się wtedy, gdy w trakcie obsługi incydentu widać, że może dojść do naruszenia czasów maksymalnych (MTPD / MAO).** To jest moment przekazania, a nie ranga incydentu.

## Kryzys to decyzja

Kryzys nie jest „bardzo poważnym incydentem". Greckie *krisis* znaczy rozstrzygnięcie, wybór – i o to chodzi:

**Kryzys zaczyna się wtedy, gdy nie mamy zasobów na utrzymanie wszystkich usług i produktów. Coś trzeba poświęcić na rzecz czegoś.**

Dwie ścieżki prowadzenia kryzysu:

1. **Zależności znane i opisane.** Wiemy, co od czego zależy, więc pierwszeństwa są zaszyte wcześniej – w BCP, a zarządczo w BCMS. Decyzja została podjęta przed zdarzeniem.

2. **Sytuacja nieopisana.** Pracujemy zupełnie inaczej, w pętli: **zbieranie informacji → budowanie świadomości sytuacyjnej → decyzja → wdrożenie → powrót do zbierania informacji**. Pętla kręci się do ustabilizowania sytuacji.

Źródła kryzysu wskazane w BS 11200, warte zapamiętania przy projektowaniu klasyfikacji: **błędnie obsłużony incydent** oraz **incydent zamieciony pod dywan**. Sprzyja im układ, w którym pierwszą fazą incydentu zajmuje się kierownik działu, w którym do niego doszło.

## Czego z tego nie wolno zgubić w dokumentacji

1. **Zdarzenie rejestrujemy, nie tylko incydent.** Bez tego analiza zagrożeń pracuje na ułamku danych.

2. **Definicja incydentu obejmuje oba typy** – naruszenie własnych zasad i zdarzenie nieprzewidziane.

3. **Klasyfikacja incydentu niesie katalog potencjalnych skutków i oddziaływań na inne obszary** – silosowa klasyfikacja („to sprawa BHP") jest źródłem błędnej ścieżki postępowania.

4. **Ryzyko to suma skutków**, nie pojedynczy skutek branżowy. Rozpatrywane osobno – finansowe, prawne, operacyjne, reputacyjne – każde z nich potrafi oszukać skalą.

5. **Granica SZBI i BCMS jest granicą kompetencji, nie hierarchii.** Bezpieczeństwo nie wyznacza MTPD, tylko się w nim mieści.

## Terminologia (2026-08-24)

W polskim wydaniu normy mówimy **zabezpieczenia**, nie „kontrole". Angielskie *controls* tłumaczy się w PN jako zabezpieczenia i tego trzymamy się w dokumentach, prezentacjach i rozmowach z klientem. „Kontrola" w języku polskim znaczy sprawdzenie – użycie jej w znaczeniu środka ochronnego myli dwa różne pojęcia i wprowadza kalkę językową tam, gdzie polska terminologia jest ustalona.

## Dlaczego ta wiedza jest produktem (teza rynkowa, 2026-08-24)

Tego modelu nie ma na rynku szkoleniowym – i to nie jest przeoczenie, tylko historia: duże korporacje były układane lata temu, więc popyt na szkolenie z fundamentów wygasł, a nowego jeszcze nie ma.

To się zmienia. Zalew regulacji i norm – NIS2, CER, DORA, UKSC, UZK, kolejne akty wykonawcze – wymusi sprowadzenie bezpieczeństwa do **jednego rdzenia: przebiegu identycznego wszędzie, z nakładkami domenowymi i branżowymi**. Organizacja, która dla każdej regulacji buduje osobny system, utonie w utrzymaniu; organizacja z jednym rdzeniem dokłada nakładkę.

Ten dokument opisuje właśnie rdzeń: zdarzenie → incydent → ciągłość → kryzys to przebieg wspólny dla ppoż (IBP realizuje go w całości), RODO (naruszenie jako incydent poważny), UKSC, BHP i reszty domen. Nakładką jest terminologia, progi i obowiązki notyfikacyjne konkretnego reżimu – nie sam przebieg.

Wiedza budowana na s87 przyrostowo, wyprzedzając rynek – kiedy popyt wróci, FB ma gotową bazę, nie prezentację pisaną na kolanie.

## Powiązania

- `ProjektyC\Komercyjne\VCN\ROBOCZE_ISO27001\SZBI-Zarzadzanie_Incydentami\_NOTATKA_odwracalnosc_atrybutow_2026-08-23.md` – bow-tie jako szkielet oceny incydentu, nieodwracalność poufności i integralności, przebieg zdarzenie → incydent → naruszenie.

- `metodyka-audytu-jako-zrodlo-wzorcow-wdrozeniowych.md` – dlaczego wdrożenie projektuje dowód zawczasu.

- Źródło doktryny: „Być, trwać, rozwijać się" (G. Krzemiński, w przygotowaniu).