CERT Polska podał 2 czerwca, że moje.cert.pl ma ponad 20 tysięcy użytkowników, a sprawdzenie ponad 3,5 miliona domen, subdomen i adresów IP pozwoliło zidentyfikować ponad 750 tysięcy podatności i błędnych konfiguracji. Dla zarządu te dane są punktem wyjścia do pytania: kto odpowiada za wykryte zasoby firmy, których wcześniej nie było w jej rejestrze?

Kto w twojej firmie przyjmie do wyjaśnienia domenę, której nie ma na liście zasobów? Odpowiedź „osoba odpowiedzialna za tę domenę” na nic się nie zda właśnie wtedy, gdy właściciel pozostaje nieznany. Wyobraź sobie porównanie firmowego rejestru z wykazem zasobów widocznych z internetu. Przy nieznanej wcześniej subdomenie trzeba dopiero ustalić, czy należy do firmy, po co istnieje i kto podejmie decyzję o dalszym działaniu. To hipotetyczna sytuacja kontrolna, a nie opis zaniedbania konkretnej organizacji. Liczby CERT Polska uzasadniają rozmowę o sprawdzaniu zasobów; same nie rozstrzygają, ile takich rozbieżności występuje w twojej firmie. Proponujemy więc zacząć od odpowiedzialności za wyjaśnienie każdej rozbieżności między rejestrem a wynikiem sprawdzenia.

Ponad 750 tysięcy wykryć wymaga właściwej interpretacji

W komunikacie z 2 czerwca 2026 r. CERT Polska zestawia skalę korzystania z moje.cert.pl ze skalą sprawdzonych zasobów i wykrytych problemów. Użytkownicy, domeny, subdomeny, adresy IP oraz podatności i błędne konfiguracje to różne kategorie. Przy czytaniu tych liczb zachowajmy ich opisy: ponad 20 tysięcy użytkowników nie oznacza takiej samej liczby firm, a ponad 750 tysięcy wykryć nie jest liczbą incydentów.

Podatności i błędy konfiguracji podano łącznie. Przytoczone dane nie rozdzielają tych kategorii ani nie określają, ile wykrytych problemów usunięto. Nie znamy też z tych liczb skali wykorzystania podatności. W firmowym raporcie opiszmy zatem osobno wynik sprawdzenia, decyzję o naprawie oraz potwierdzenie jej wykonania. To nasza rekomendacja dotycząca raportowania, a nie informacja o sposobie pracy użytkowników moje.cert.pl.

Dla rejestru zasobów proponujemy podobną kolejność: porównać zapis z widokiem od strony internetu, wyjaśnić rozbieżność i wskazać osobę odpowiedzialną za dalsze działania. Liczbę wykryć zachowajmy jako opis wyniku kontroli. Odpowiedzi na pytanie o stan konkretnej domeny szukajmy w jej własnym sprawdzeniu.

Rejestr zasobów powinien podlegać sprawdzeniu z perspektywy internetu, a każda rozbieżność powinna otrzymać właściciela wyjaśnienia.

Nieznana subdomena powinna uruchomić przypisanie odpowiedzialności

Ponad 3,5 miliona sprawdzonych domen, subdomen i adresów IP to skala podana przez CERT Polska. Nie wynika z niej liczba zasobów pominiętych w firmowych rejestrach. Nie przypisujmy więc wszystkim wykryciom wspólnej przyczyny w postaci zapomnianej infrastruktury. Kąt zarządczy pozostaje jednak konkretny: jak postąpić, jeśli porównanie rejestru z wynikiem kontroli ujawni wcześniej nieznany zasób?

W hipotetycznej sytuacji ze wstępu procedurę sprawdźmy na jednym pytaniu: komu przekazać nieznaną subdomenę, zanim firma ustali jej stałego właściciela? Zalecamy wskazać osobę, która przyjmie sprawę i doprowadzi do ustalenia odpowiedzialności. W rejestrze oznaczmy wtedy brak potwierdzenia przynależności zasobu albo brak właściciela, zależnie od tego, czego jeszcze nie wiadomo.

Przy takiej subdomenie proponujemy zapisać wynik sprawdzenia, osobę prowadzącą wyjaśnienie i termin kolejnej decyzji. Jeśli zasób okaże się firmowy, kolejnym krokiem powinno być przypisanie odpowiedzialności za ocenę wykrytych problemów. Jeśli przynależności nie uda się potwierdzić, pozostawmy ją jako nieustaloną. Sam brak wpisu w rejestrze nie daje podstaw do opisania zdarzenia jako incydentu.

Zarząd powinien pytać o właściciela naprawy

Przy danych CERT Polska pytanie o ponad 750 tysięcy wykryć dotyczy skali. Dla własnej domeny proponujemy inne pytanie: kto odpowiada za decyzję po otrzymaniu wyniku? Właściciel rejestru i osoba odpowiedzialna za usunięcie problemu powinni być wskazani wprost, nawet jeśli w danej firmie obie role pełni ta sama osoba.

Zarządowi rekomendujemy krótki zapis przy każdej wyjaśnianej pozycji: zasób, ustalony problem, właściciel działania, termin i sposób potwierdzenia wyniku. Przy pozycji bez właściciela wskażmy osobę odpowiedzialną za jego ustalenie. Przy braku decyzji o naprawie zapiszmy, kto i do kiedy ma ją podjąć. W ten sposób pytanie o nieznaną subdomenę otrzyma konkretnego adresata.

Przytoczone liczby CERT Polska nie pozwalają wycenić kosztu napraw w konkretnej firmie ani oszacować jej strat. W rozmowie o zasobach proponujemy więc najpierw ustalić zakres problemu i odpowiedzialność. Osobę prowadzącą rejestr zapytajmy, które pozycje czekają na wyjaśnienie, a właściciela działania naprawczego poprośmy o termin i potwierdzenie wykonania.

Za wcześniej nieznany zasób ktoś odpowiada już na etapie wyjaśniania, zanim firma ustali jego stałego właściciela.

Dane CERT Polska są punktem odniesienia dla własnej kontroli

Ponad 20 tysięcy użytkowników moje.cert.pl opisuje skalę korzystania z serwisu według CERT Polska. Ta liczba nie określa stopnia pokrycia zasobów konkretnej firmy ani kompletności jej rejestru. Nie wyznaczajmy też na jej podstawie celu dla firmowego raportu. Proponowanym celem przeglądu jest wyjaśnienie rozbieżności we własnych domenach, subdomenach i adresach IP.

Dla polskiego odbiorcy komunikat CERT Polska może być punktem wyjścia rozmowy o takim przeglądzie. Do raportu dla zarządu przenieśmy pełne nazwy kategorii z komunikatu i zachowajmy rozróżnienie między wykryciem problemu a incydentem. W części dotyczącej własnej firmy rekomendujemy natomiast pokazać konkretne zasoby wymagające decyzji oraz osoby odpowiedzialne za ich wyjaśnienie lub naprawę.

Co z tym zrobić w poniedziałek

  1. W ciągu 30 minut wybierz jedną firmową domenę i sprawdź w rejestrze, kto odpowiada za porównanie jej zasobów z widokiem od strony internetu. Jeśli brakuje takiego przypisania, zapisz osobę odpowiedzialną za zorganizowanie kontroli.
  2. Poświęć 30 minut na jedną wcześniej nieznaną pozycję z dostępnego wyniku sprawdzenia: wpisz osobę prowadzącą wyjaśnienie i termin decyzji. Jeśli nie ma takiego wyniku, zapisz, do kogo ma trafić pierwsza wykryta rozbieżność.
  3. W ciągu 30 minut uzupełnij wzór rejestru o właściciela działania naprawczego, termin oraz potwierdzenie wykonania. Przygotuj oddzielne miejsce na opis podatności i błędów konfiguracji, aby nie raportować ich automatycznie jako incydentów.

Rejestr zasobów powinien zobowiązywać do wyjaśnienia każdej rozbieżności z widokiem od strony internetu. Po komunikacie CERT Polska postawmy zarządowi pytanie o osobę, która przyjmie odpowiedzialność za wcześniej nieznany zasób. Odpowiedź powinna znaleźć się w zasadach pracy z rejestrem, zanim pojawi się kolejna taka pozycja.

Źródła

Redakcja cyberinsight.pl.