CERT Polska ogłosił w środę 7 października publikację raportu miesięcznego za sierpień. Według niego w danych od 1 do 31 sierpnia jest 56,3 tys. zgłoszeń i 18,9 tys. zarejestrowanych incydentów, a wiele zgłoszeń może dotyczyć jednego incydentu. Dla każdego, kto buduje zarządczy wskaźnik ryzyka, to dobry moment, żeby sprawdzić, co właściwie liczy jego własny raport.

Wyobraź sobie dyspozytornię pogotowia w dniu, w którym na skrzyżowaniu zderzyły się dwa samochody. Dzwoni kierowca, dzwoni przechodzień, dzwoni sprzedawca z kiosku na rogu i jeszcze pasażer z autobusu. Dyspozytor odbiera cztery telefony, ale wysyła karetkę do jednego zdarzenia. Gdyby ktoś oceniał bezpieczeństwo tego skrzyżowania liczbą telefonów, uznałby je za cztery razy groźniejsze, niż jest. Z raportami o cyberbezpieczeństwie bywa podobnie. Sierpniowe dane CERT Polska pokazują rozjazd wprost: obok 56,3 tys. zgłoszeń stoi 18,9 tys. zarejestrowanych incydentów. Pytanie dla zarządu brzmi więc tak: którą z tych dwóch miar pokazuje wasz kwartalny slajd o ryzyku i czy osoba, która go przygotowała, odpowie na to bez otwierania arkusza?

Zgłoszeń jest prawie trzy razy więcej niż incydentów

Proste dzielenie daje wynik bliski trzem: łączna liczba zgłoszeń jest niemal trzykrotnością liczby zarejestrowanych incydentów. Kusi, żeby z tego wyciągnąć średnią „trzy zgłoszenia na incydent”. Tego jednak z samych liczb nie da się ustalić. CERT Polska podaje, że wiele zgłoszeń może dotyczyć jednego incydentu, ale dwie liczby nie mówią, ile zgłoszeń nie zakończyło się rejestracją incydentu ani jak rozkładają się zgłoszenia między poszczególne sprawy. To jest nieznane i tak trzeba to opisać.

Różnica ma praktyczne skutki. Liczba zgłoszeń mówi, ile sygnałów dotarło do zespołu. Liczba zarejestrowanych incydentów mówi, ile zdarzeń zarejestrowano jako incydenty. Z samych liczb nie wynika, ile pracy wymagało przejrzenie zgłoszeń ani według jakich kryteriów zgłoszenie staje się zarejestrowanym incydentem. Obie są prawdziwe i obie są przydatne. Kłopot zaczyna się wtedy, gdy na wykresie stoją obok siebie bez podpisu albo gdy jedna zastępuje drugą między kolejnymi wydaniami raportu.

Wzrost liczby zgłoszeń może oznaczać więcej zdarzeń albo więcej osób, które je zauważyły; sama liczba tego nie rozstrzyga.

Wewnętrzny wskaźnik może mieszać obie miary

Ten sam rozjazd sprawdźmy we własnej organizacji. Weź ostatni raport ryzyka przedstawiony zarządowi i przy każdej liczbie zadaj jedno pytanie: czy to zgłoszenia, czy incydenty? Jeżeli kafelek nazywa się „incydenty”, a dane pochodzą z kolejki zgłoszeń helpdesku albo z liczby alertów, wskaźnik opisuje coś innego, niż obiecuje jego nazwa. Nikt nie musiał przy tym popełnić błędu. Wystarczy, że nikt nigdy nie zapisał definicji.

Raport CERT Polska ułatwia takie ćwiczenie, bo obie liczby, 56,3 tys. i 18,9 tys., pokazuje osobno i nazywa je inaczej. To wzór do skopiowania. W wewnętrznym raporcie zgłoszenia i incydenty powinny mieć osobne wiersze, osobne definicje i osobę, która decyduje, kiedy zgłoszenie staje się incydentem. Jeśli takiej osoby nie da się wskazać, to też jest wynik audytu, i to wart wpisania do rejestru ryzyk.

Porównanie okresów wymaga tej samej miary i tego samego zakresu

Teza zarządcza jest prosta. Trend ma sens tylko wtedy, gdy porównujemy to samo z tym samym. Raport za sierpień obejmuje dane od 1 do 31 sierpnia, a jego publikację ogłoszono 7 października, czyli 37 dni po końcu okresu. Na październikowym posiedzeniu zarząd zobaczy więc obraz sierpnia. Taki odstęp trzeba zaznaczyć na slajdzie. Bez tej informacji „najnowsze dane” łatwo pomylić z bieżącą sytuacją.

Druga sprawa to metodologia. Zanim ktoś powie, że sierpień był gorszy lub lepszy od lipca, powinien sprawdzić w samym dokumencie, czy sposób liczenia i klasyfikacji pozostał bez zmian. Jeśli definicja zgłoszenia albo incydentu się zmieniła, porównanie dwóch miesięcy mierzy obok zagrożeń także zmianę reguł. Gdy tego nie da się ustalić, uczciwsze jest oznaczenie trendu jako niepewnego niż narysowanie strzałki w górę.

Wskaźnik, którego autor nie potrafi zdefiniować w jednym zdaniu, nie powinien trafiać na slajd zarządu.

Odpowiedzialność jest tu konkretna. Kto podpisuje raport ryzyka, odpowiada także za to, że liczby z dwóch okresów da się ze sobą zestawić. Jeżeli cytujecie dane CERT Polska jako tło dla własnych wyników, ta sama zasada obowiązuje w dwie strony: wasze zgłoszenia porównujcie z jego zgłoszeniami, a incydenty z incydentami.

Polskie dane mają otwarte źródło i datę

Dla polskiej organizacji dane CERT Polska są naturalnym punktem odniesienia. Za sierpień 2026 są dostępne dwa dokumenty: komunikat „Raport miesięczny za sierpień 2026” oraz „Podsumowanie Miesiąca CERT Polska nr 8/2026”, oba z datą publikacji 7 października 2026. To otwarte dokumenty pierwotne, więc każdą liczbę można sprawdzić u źródła, zanim trafi do prezentacji.

Przy cytowaniu przenośmy całą metryczkę, a nie samą liczbę. „56,3 tys. zgłoszeń” bez okresu i bez informacji, że incydentów zarejestrowano 18,9 tys., po kilku przeklejeniach między dokumentami zamienia się w „56 tysięcy ataków”. Okres danych, data publikacji i nazwa miary zajmują jedną linijkę przypisu.

Co z tym zrobić w poniedziałek

Każdy punkt zajmie do 30 minut i nie wymaga zmian w systemach.

  1. Podpisz każdą liczbę w raporcie ryzyka. Przejrzyj ostatni raport dla zarządu i przy każdym wskaźniku dopisz, czy liczy zgłoszenia, czy incydenty. Tam, gdzie nie wiadomo, wpisz pytanie do autora danych i termin odpowiedzi.
  2. Dodaj zakres danych i datę publikacji. Przy każdym zestawieniu zapisz okres, którego dotyczy (na wzór „od 1 do 31 sierpnia”), oraz datę, kiedy dane opublikowano lub odczytano. To samo zrób przy cytatach z raportu CERT Polska.
  3. Sprawdź metodologię przed oceną trendu. Zanim zestawisz dwa okresy, ustal z właścicielem danych, czy definicje i klasyfikacja się nie zmieniły. Jeśli nie da się tego potwierdzić, oznacz porównanie jako niepewne i zapisz, kto ma to wyjaśnić.

Liczba na slajdzie ma wartość dopiero wtedy, gdy wiadomo, co liczy, jaki okres obejmuje i czy można ją zestawić z poprzednią. Sierpniowy raport CERT Polska pokazuje dwie miary obok siebie. Wewnętrzny raport ryzyka powinien robić to samo.

Źródła

  1. CERT Polska: Raport miesięczny za sierpień 2026, publikacja: 7 października 2026.
  2. CERT Polska: Podsumowanie Miesiąca CERT Polska nr 8/2026, publikacja: 7 października 2026.

Redakcja cyberinsight.pl.