W środę, 8 kwietnia, NASK podał, że działający w instytucie zespół CERT Polska obsłużył w 2025 r. 260 783 unikalne incydenty, wyłonione z 658 320 zgłoszeń. Dla zarządu to dobry moment, żeby sprawdzić, co właściwie liczy własny raport bezpieczeństwa i czy jedna liczba nie udaje w nim trzech różnych.

Wyobraź sobie recepcję przychodni, która co miesiąc raportuje dyrekcji liczbę telefonów od pacjentów. W miesiącu, w którym przychodnia uruchomiła nowy numer i rozwiesiła plakaty, telefonów jest dwa razy więcej. Czy pacjenci zaczęli częściej chorować? Z samej liczby telefonów tego nie wyczytasz. Mogło się zmienić zdrowie pacjentów, mogła się zmienić łatwość dodzwonienia się, a całkiem możliwe, że jedno i drugie naraz. Z rejestrem incydentów bezpieczeństwa jest tak samo. Liczba, która trafia na slajd zarządu, mierzy jednocześnie aktywność przestępców, gotowość ludzi do zgłaszania i zasięg narzędzi monitorujących. Dane CERT Polska za 2025 rok dobrze to pokazują, bo rozdzielają co najmniej dwa poziomy: zgłoszenia i incydenty. Firmowy raport powinien rozdzielać trzy poziomy, bo do zgłoszeń i incydentów dokłada skutki biznesowe.

Z 658 320 zgłoszeń zostało 260 783 incydentów

Według NASK do CERT Polska trafiło w 2025 r. 658 320 zgłoszeń. Po ich obsłużeniu zespół policzył 260 783 unikalne incydenty. Z prostego rachunku wynika, że incydentem stały się mniej więcej 4 na 10 zgłoszeń, a różnica między obiema liczbami wynosi 397 537. Tytuł komunikatu NASK mówi o „prawie 2 tys. zgłoszeń każdego dnia”. Po przeliczeniu na dzień wychodzi około 1,8 tys. zgłoszeń i około 714 incydentów.

Słowo „unikalne” ma tu znaczenie. Podpowiada, że część zgłoszeń dotyczyła tych samych zdarzeń: ta sama podejrzana wiadomość zgłoszona przez wiele osób daje jeden incydent, choć generuje wiele wpisów. Jak dokładnie dzieli się pozostała część zgłoszeń, z liczb przytoczonych w komunikacie nie wynika i nie będziemy tego zgadywać.

Wniosek dla każdego, kto układa raport: liczba incydentów jest wynikiem procesu, który ma wejście (zgłoszenia), filtr (analizę) i wyjście (potwierdzone zdarzenia). Zmiana kanałów zgłaszania, reguł analizy albo zasięgu monitoringu zmienia wynik nawet wtedy, gdy przestępcy zachowują się identycznie jak rok wcześniej.

Liczba incydentów to wynik działania lejka, a lejek ma własne ustawienia, które trzeba raportować razem z wynikiem.

Gdzie firmowy raport rozmija się z rzeczywistością

Polityka bezpieczeństwa zwykle definiuje incydent starannie: jest zdarzenie, ocena i decyzja. Raport kwartalny bywa skromniejszy. Na slajd trafia to, co najłatwiej wyciągnąć z narzędzia, czyli liczba zgłoszeń albo alertów, opisana jako „incydenty”. Na papierze proces wygląda tak samo jak w CERT Polska, w praktyce pomija etap, który z 658 320 zgłoszeń zrobił 260 783 incydenty.

Skutki widać przy każdej zmianie w organizacji. Firma uruchamia przycisk do zgłaszania podejrzanych wiadomości albo podłącza nowe źródło logów do monitoringu. Liczba w raporcie rośnie i zarząd widzi pogorszenie, choć zmieniło się głównie to, ile organizacja widzi. Działa to także w drugą stronę. Kwartał z mniejszą liczbą zgłoszeń może oznaczać spokój, ale może też oznaczać, że ludzie przestali zgłaszać, na przykład dlatego, że zgłoszenia zostawały bez odpowiedzi.

Dlatego wzrost rejestrowanych incydentów trzeba czytać razem ze zmianami zgłaszalności i monitorowania. Dotyczy to statystyk krajowych i firmowego rejestru. Sama liczba nie mówi, ile w niej zmiany w zachowaniu atakujących, a ile zmiany w zachowaniu zgłaszających.

Spadek liczby zgłoszeń może oznaczać spokój albo ciszę, w której nikt już niczego nie zgłasza.

Trzy poziomy dla zarządu: zgłoszenia, incydenty i skutki

Pierwszy poziom to zgłoszenia. Mierzą czujność ludzi i zasięg narzędzi. Rosnąca liczba zgłoszeń przy stałej liczbie potwierdzonych incydentów mówi przede wszystkim o działaniu kanałów zgłaszania. Raport powinien przy niej pokazywać odsetek zgłoszeń, które okazały się incydentem. W danych CERT Polska za 2025 r. było to około 40 procent; firma powinna znać własny odsetek i śledzić, czy się przesuwa.

Drugi poziom to potwierdzone incydenty, czyli zdarzenia, które przeszły analizę. Ta liczba lepiej opisuje zagrożenie, ale nadal nie mówi, ile organizację kosztowało.

Trzeci poziom to skutki biznesowe: przestój, utracone dane, pieniądze wypłacone oszustom, czas pracy zespołu. Krajowe liczby CERT Polska, takie jak 260 783 incydenty, nie opisują strat poszczególnych firm. Tę warstwę każda organizacja musi zmierzyć sama, bo żadna statystyka zewnętrzna jej nie dostarczy.

Rozdzielenie tych poziomów ma znaczenie dla odpowiedzialności. Zarząd, który decyduje o budżecie na podstawie liczby zgłoszeń, może przesunąć pieniądze tam, gdzie wzrosła widoczność, i przeoczyć miejsce, w którym rosną straty. Przy każdej z trzech liczb raport powinien mieć krótką notkę o zmianach w danym okresie: nowy kanał zgłoszeń, nowe źródło monitoringu, zmiana definicji.

97 procent incydentów to oszustwa komputerowe

Według NASK 97 proc. incydentów obsłużonych przez CERT Polska w 2025 r. należało do oszustw komputerowych. Przy 260 783 incydentach to w przybliżeniu 253 tys. przypadków, a na wszystkie pozostałe kategorie razem przypada około 7,8 tys.

Dla polskiej firmy ta proporcja jest wskazówką, gdzie szukać luk w raporcie. Próba oszustwa często nie trafia do zespołu bezpieczeństwa. Trafia do księgowości, do obsługi klienta albo do skrzynki pracownika, który sam ją rozpoznaje i usuwa. Jeśli te kanały nie są podłączone do rejestru, firmowy raport może pokazywać głównie zdarzenia techniczne, podczas gdy w danych krajowych oszustwa to 97 proc. obsłużonych incydentów.

Dane dotyczą całego 2025 r. Opisują zeszły rok i nie mierzą tego, co dzieje się w kwietniu 2026 r. Do porównań z własnym rejestrem nadają się jako tło.

Co z tym zrobić w poniedziałek

  • Otwórz ostatni raport bezpieczeństwa dla zarządu i sprawdź, czy liczba opisana jako „incydenty” to zgłoszenia, alerty czy potwierdzone zdarzenia. Popraw etykietę tak, żeby mówiła, co naprawdę liczy.
  • Dopisz do raportu jeden wiersz o zmianach zgłaszalności i monitorowania w okresie: nowe kanały zgłoszeń, nowe źródła logów, zmiany definicji. Bez niego wzrostu ani spadku nie da się uczciwie zinterpretować.
  • Ustal z finansami i obsługą klienta, gdzie dziś trafia informacja o próbie oszustwa i czy ktoś ją liczy. Jeśli nie, wyznacz osobę, która od następnego miesiąca przekaże te przypadki do rejestru incydentów.

Liczby CERT Polska za 2025 r. przydają się zarządowi przede wszystkim jako wzór rozdzielania zgłoszeń od incydentów. Firmowy raport, który pokazuje jedną liczbę bez kontekstu zgłaszalności i bez skutków biznesowych, mierzy głównie to, ile organizacja widzi. Zarząd potrzebuje wiedzieć także, ile go to kosztuje.

Źródła

Redakcja cyberinsight.pl.