ENISA opublikowała 22 września Threat Landscape 2026, analizujący wydarzenia od stycznia do grudnia 2025 roku. W komunikacie podkreśla skutki ataków na łańcuchy dostaw i podmioty trzecie. Wniosek redakcji dla zarządu: rejestr ryzyka powinien wskazywać usługi, które przestaną działać po incydencie dostawcy, wraz z dopuszczalnym przestojem i sposobem działania zastępczego.

Czy na pytanie „co przestanie u nas działać po incydencie dostawcy?” odpowiesz nazwą usługi, czy odeślesz rozmówcę do listy firm? Przy lekturze raportu ENISA sprawdź, jaką odpowiedź pozwala dziś przygotować własny rejestr ryzyka. Wybierz zależność, którą uznajesz za krytyczną, i spróbuj opisać jej skutek bez ogólnego hasła „problemy z dostawcą”. Która usługa stanie, jak długo możesz zaakceptować jej niedostępność i co uruchomisz w zastępstwie? Te pytania proponujemy jako początek przeglądu. Jeśli przy którymś brakuje odpowiedzi, wpisz ten brak obok wybranej zależności. Nie przypisuj jej gotowości do dalszego działania, dopóki nie ustalisz, na czym miałaby polegać.

Incydent dostawcy rozpatruj przez skutek dla usługi

ENISA zwraca uwagę na ataki na łańcuchy dostaw i podmioty trzecie z powodu ich skutków. Przełóżmy ten akcent na opis ryzyka we własnej organizacji: przy każdym rozważanym incydencie dostawcy zapytajmy o usługę, której działanie od niego zależy. Zapiszmy, co dokładnie miałoby przestać działać po utracie tej zależności.

W rejestrze połącz nazwę dostawcy z nazwą własnej usługi i opisem skutku przerwy. Jeżeli nie potrafisz potwierdzić takiego związku, zaznacz go jako wymagający wyjaśnienia. Przy wyborze krytycznych zależności uzasadnij pierwszeństwo tym, jaką usługę chcesz utrzymać i dlaczego jej zatrzymanie uznajesz za niedopuszczalne. Nie przypisuj wszystkim dostawcom jednakowego znaczenia bez takiego uzasadnienia.

Przy ocenie pilności zachowaj rozróżnienie dat: rok 2026 oznacza edycję raportu, natomiast analizowane wydarzenia pochodzą z okresu styczeń–grudzień 2025. Nie przedstawiaj ich jako zdarzeń z ostatniego kwartału. Przegląd własnych zależności oprzyj na pytaniach o ciągłość usług, bez dopisywania raportowi oceny bieżącej sytuacji konkretnego dostawcy.

Rejestr ryzyka powinien odpowiadać na pytanie, która usługa stanie po incydencie dostawcy i jaki przestój jesteśmy gotowi zaakceptować.

Scenariusz zastępczy wymaga sprawdzenia wykonania

Po lekturze Threat Landscape 2026 zestaw opis postępowania z tym, co zespół umie potwierdzić. Dla wybranej zależności przeczytaj zapis scenariusza zastępczego i poproś osobę odpowiedzialną za usługę o przejście przez kolejne czynności. Zacznij od pytania, czy scenariusz zakłada niedostępność właśnie tego dostawcy, którego incydent rozpatrujesz.

Sprawdź, czy działanie zastępcze także wymaga dostępu do wybranej zależności. Jeżeli odpowiedź brzmi „tak”, zapisz warunek, którego bez dostawcy nie spełnisz. Jeżeli odpowiedzi nie znasz, pozostaw ją jako otwarte zadanie. Nie wpisuj pozytywnego wyniku sprawdzenia wyłącznie dlatego, że dokument opisuje możliwość przełączenia usługi.

Podczas przeglądu oddziel deklarację od wykonanej czynności: co przewidziano, co sprawdzono i czego nadal nie wiadomo? Przy każdym potwierdzeniu wskaż, jakiego elementu scenariusza dotyczy. Rozmowę o procedurze potraktuj jako przygotowanie do sprawdzenia; możliwość utrzymania usługi uznaj za potwierdzoną tylko tam, gdzie zespół rzeczywiście ją sprawdził.

Dopuszczalny przestój zapisz przy konkretnej zależności

W zarządczym odczytaniu raportu ENISA pytanie o dostawcę połączmy z decyzją o dopuszczalnym przestoju własnej usługi. Wskaż, kto ma tę granicę zatwierdzić i jaki skutek przerwy bierze pod uwagę. Poproś o uzasadnienie, dlaczego dłuższe zatrzymanie usługi byłoby już nie do przyjęcia.

Przy tej samej usłudze zapisz, ile czasu wymaga uruchomienie rozważanego wariantu zastępczego. Rozróżnij czas zakładany od potwierdzonego podczas sprawdzenia. Porównaj go z granicą przestoju, którą przyjęto dla usługi. Gdy tych danych brakuje, przedstaw zarządowi pytanie do rozstrzygnięcia zamiast deklaracji gotowości.

Jeżeli uruchomienie wariantu zastępczego przekracza przyjęty czas, nazwij tę rozbieżność w rejestrze. Do propozycji wydatku dołącz wtedy opis tego, co ma się zmienić: której zależności dotyczy działanie i jak pomoże utrzymać usługę w zaakceptowanych granicach. Jeżeli nie znasz kosztu przestoju, oznacz go jako nieznany. Przy decyzji zapisz osobę odpowiedzialną za ponowne sprawdzenie scenariusza i warunek uznania go za wystarczający.

Działanie zastępcze oceniajmy względem dopuszczalnego przestoju tej usługi, którą ma podtrzymać.

Polski przegląd zacznij od własnego rejestru ryzyka

Polskiemu odbiorcy proponujemy wykorzystać Threat Landscape 2026 do przeglądu wybranej usługi. Zacznij od potwierdzenia jej zależności, następnie ustal akceptowany czas zatrzymania i zakres sprawdzenia wariantu zastępczego. Nie przypisuj polskiej organizacji incydentu ani wyniku oceny na podstawie samej lektury raportu.

W rozmowie z własnym dostawcą odwołaj się do tej konkretnej usługi. Zapytaj o informacje potrzebne do sprawdzenia, co pozostanie dostępne w rozpatrywanym scenariuszu. Otrzymaną odpowiedź zestaw z opisem własnego działania zastępczego. Jeżeli dotyczy innego zakresu usługi, poproś o doprecyzowanie przed uznaniem jej za potwierdzenie gotowości.

Na przegląd zarządczy przygotuj wspólny zapis: zależność, skutek jej utraty, dopuszczalny przestój oraz wynik sprawdzenia. Zostaw miejsce na niewiadome. Do rekomendacji przedstawianej po lekturze ENISA dołącz zadanie uzupełniające właśnie te braki, które uniemożliwiają ocenę ciągłości wybranej usługi. Zakres dalszych działań ustal na podstawie odpowiedzi z organizacji.

Co z tym zrobić w poniedziałek

  1. W ciągu 30 minut wybierz jedną krytyczną zależność od dostawcy. Dopisz w rejestrze nazwę własnej usługi i skutek utraty tej zależności. Jeśli związku nie potrafisz potwierdzić, zapisz pytanie do osoby odpowiedzialnej za usługę.
  2. Przez 30 minut przejrzyj ustalenia dotyczące dopuszczalnego przestoju tej usługi. Zapisz przyjęty czas i osobę zatwierdzającą. Gdy ustalenia brakuje, przygotuj do decyzji propozycję granicy wraz z opisem skutku jej przekroczenia.
  3. Przeznacz 30 minut na przejście przez zapisany scenariusz zastępczy. Sprawdź jego zależność od niedostępnego dostawcy oraz założony czas uruchomienia. Zapisz wynik tego przeglądu i czynność wymagającą dalszego sprawdzenia, bez deklarowania zakończenia pełnego testu.

Wymagajmy, by przy ryzyku incydentu dostawcy można było wskazać usługę, dopuszczalny przestój i sprawdzony zakres działania zastępczego. Gdy odpowiedzi brakuje, przypiszmy zadanie, które pozwoli ją uzyskać. Od takiego zapisu zacznijmy decyzję o dalszym ograniczaniu ryzyka zależności.

Źródła

Redakcja cyberinsight.pl.