Według CERT Polska w marcu 2026 r. odnotowano 62,6 tys. zgłoszeń i 31,0 tys. zarejestrowanych incydentów, a 98% obsłużonych incydentów to oszustwa komputerowe. Dla zespołu ryzyka to powód, by przyjrzeć się ekspozycji na oszustwa, ochronie kont i jakości raportowania. Dane z opublikowanego 13 kwietnia raportu pomagają wskazać obszar przeglądu, ale nie określają liczby ataków na konkretną firmę.

Czy wpisanie 31 tys. incydentów do firmowego raportu wystarczy, żeby uzasadnić zmianę priorytetów bezpieczeństwa? Odpowiedź zależy od tego, co zarząd ma z tej liczby wyczytać. Jako informacja o skali zarejestrowanej przez CERT Polska ma ona określone znaczenie. Jako opis zagrożenia dla własnej organizacji wymaga danych, których przytoczone statystyki nie dostarczają. Zanim więc liczba trafi do rekomendacji budżetowej, dopiszmy do niej zakres: kto ją podał, jakiego okresu dotyczy i co policzono. Następnie postawmy pytanie o firmę: jak rozpoznamy, czy wskazana kategoria zagrożeń ma pokrycie w naszym rejestrze i wymaga zmiany kontroli?

Zgłoszenia i incydenty wymagają osobnych etykiet

Pierwsze rozróżnienie w marcowych danych CERT Polska dotyczy samej jednostki pomiaru: 62,6 tys. oznacza zgłoszenia, a 31,0 tys. zarejestrowane incydenty. W raporcie dla zarządu zachowajmy obie nazwy. Zastąpienie ich wspólną etykietą „ataki” zaciera zakres informacji podanej przez źródło. Nie mamy podstaw, by którąkolwiek z tych wartości przypisać pojedynczej organizacji.

Różnica między 62,6 tys. a 31,0 tys. nie mówi, ile ataków powstrzymano. Przytoczone liczby nie określają też, ile firm ucierpiało ani jakie poniosły straty. Takie pola w firmowej analizie pozostają do uzupełnienia własnymi ustaleniami. Brak danych o skutkach zostawmy widoczny, zamiast zastępować go liczbą zarejestrowanych incydentów.

Przy każdej wartości zaczerpniętej z CERT Polska zachowajmy więc nazwę miary i okres. Jeśli własny rejestr używa słowa „incydent”, sprawdźmy jego definicję przed zestawieniem wyników. Bez ustalenia zgodności zakresów nie formułujmy oceny, że firma wypada lepiej lub gorzej od obrazu przedstawionego w marcowym raporcie.

31 tys. incydentów powinno otwierać pytanie o firmową ekspozycję, zanim stanie się argumentem za wydatkiem.

Udział 98% uzasadnia przegląd obsługi oszustw

Według CERT Polska 98% obsłużonych incydentów to oszustwa komputerowe. Ten udział odnosi się do zbioru opisanego w raporcie. Nie ustala prawdopodobieństwa oszustwa w konkretnej firmie ani udziału tej kategorii w jej stratach. Nie przekładajmy go również automatycznie na udział wydatków na ochronę przed oszustwami w budżecie bezpieczeństwa.

Z tej proporcji wyprowadzamy węższy wniosek. Zacznijmy przegląd firmowego raportowania od sprawdzenia, czy oszustwa mają w nim czytelne miejsce. Sięgnijmy do obowiązującej instrukcji zgłaszania i porównajmy ją z dostępnym zapisem obsługi zdarzenia tej kategorii. Sprawdźmy, czy można ustalić odbiorcę zgłoszenia, decyzję o klasyfikacji i osobę odpowiedzialną za dalsze działanie. To propozycja kontroli, a nie opis udokumentowanych zaniedbań.

Jeśli instrukcja przewiduje taki zapis, poszukajmy dowodu jej zastosowania. Jeśli nie ma dostępnego przypadku do sprawdzenia, odnotujmy tę granicę przeglądu. Udział 98% w statystyce CERT Polska nie pozwala rozstrzygnąć, czy brak wpisów o oszustwach we własnym rejestrze świadczy o braku zdarzeń, czy o niepełnym raportowaniu.

Ochronę kont oceniajmy na podstawie firmowych ustaleń

Udział oszustw wynoszący 98% kieruje uwagę na tę kategorię, lecz sam nie opisuje stanu ochrony kont. Z przytoczonych danych nie ustalimy liczby przejętych kont ani tego, czy konkretne zabezpieczenia działają. Przegląd ochrony kont traktujmy więc jako proponowany kierunek pracy zespołu ryzyka, którego zasadność i zakres zespół sprawdzi we własnej organizacji.

Zacznijmy od wybranego konta używanego w ocenianym procesie: kto odpowiada za jego ochronę, jakie zabezpieczenia zapisano i gdzie znajduje się aktualne potwierdzenie ich stosowania? W notatce oddzielmy zabezpieczenie zadeklarowane od sprawdzonego. Jeśli brakuje potwierdzenia, wpiszmy „do weryfikacji”, wraz z odpowiedzialnością za uzupełnienie. Nie przypisujmy takiej luce skutku, którego nie ustaliliśmy.

Przed decyzją o wydatku poprośmy o wskazanie konkretnego braku oraz sposobu sprawdzenia, czy proponowana kontrola go usuwa. Przy 31,0 tys. incydentów podanych przez CERT Polska nadal nie znamy kosztu ryzyka dla naszej firmy. Rekomendacja budżetowa powinna zatem wyjaśniać związek między firmowym ustaleniem a planowanym działaniem, bez przedstawiania krajowej liczby jako kalkulacji spodziewanej straty.

98% oszustw w obsłużonych incydentach uzasadnia pytania o kontrole; odpowiedzi wymagają dowodów z własnej organizacji.

Polski raport daje punkt odniesienia za marzec

Marcowe dane CERT Polska dają polskiemu zespołowi ryzyka punkt odniesienia z nazwanym okresem. W notatce zarządczej zachowajmy także datę publikacji: 13 kwietnia 2026 r. Komunikat i PDF dotyczą marca; nie przedstawiajmy ich jako pomiaru incydentów w kwietniu ani prognozy dla kolejnego miesiąca.

Przy przenoszeniu danych CERT Polska do firmowej analizy proponujemy oddzielić informację źródłową, pytanie do własnego rejestru i decyzję. Informacją źródłową jest udział oszustw w obsłużonych incydentach. Pytaniem pozostaje ekspozycja organizacji na tę kategorię. Decyzja o zmianie kontroli wymaga uzasadnienia odnoszącego się do jej sytuacji. Tak zapisany tok rozumowania pozwala wskazać, gdzie kończą się dane raportu, a zaczyna ocena zespołu.

Nie wymagajmy, by firmowy rejestr odtwarzał proporcję 98%. Zamiast uznawać różnicę za błąd, sprawdźmy zakres porównania. Jeżeli nie da się go uzgodnić, przedstawmy dane obok siebie z opisem ograniczenia, bez rankingu bezpieczeństwa.

Co z tym zrobić w poniedziałek

  • W ciągu 30 minut przejrzyj ostatnią notatkę dla zarządu. Przy danych CERT Polska sprawdź etykiety „zgłoszenia” i „incydenty”, okres oraz źródło. Popraw fragmenty, które przedstawiają marcowe wartości jako liczbę ataków na firmę.
  • Przeznacz 30 minut na porównanie instrukcji zgłaszania oszustw z jednym dostępnym wpisem w rejestrze. Zapisz, czy da się odtworzyć odbiorcę, klasyfikację i odpowiedzialność. Jeśli wpisu brakuje, odnotuj, że nie sprawdzono praktycznego zastosowania instrukcji.
  • W ciągu 30 minut sprawdź dokumentację ochrony jednego konta używanego w wybranym procesie. Zapisz zabezpieczenia i dostępne potwierdzenia ich stosowania. Braki oznacz jako wymagające weryfikacji i wskaż osobę do dalszego wyjaśnienia.

Marcowe liczby CERT Polska powinny prowadzić do decyzji, których uzasadnienie można sprawdzić. Priorytet dla przeglądu oszustw ma oparcie w udziale 98%; wybór konkretnej kontroli wymaga już firmowych ustaleń. Odpowiedzialność zespołu ryzyka zaczyna się od zachowania tej granicy w rekomendacji dla zarządu.

Źródła

Redakcja cyberinsight.pl.