Plán pro případ incidentu a incidentní karta
Modul 8: Když se něco pokazí · Doba čtení: 10 minut
Cíl lekce: Po této lekci dokážete vytvořit incidentní kartu a jednoduchý plán pro případ incidentu, které fungují i tehdy, když nejsou dostupné počítače, e-mail ani telefonní seznam.
Klíčové pojmy: incident, incidentní karta, plán pro případ incidentu, role, seznam kontaktů, omezení škod, uchování důkazů, komunikace, uložení offline, nácvik (tabletop cvičení)
Proč si to zařídit teď, a ne až hoří
Představte si: je pondělní ráno, 07:45. Na pokladním počítači Pekařství Example svítí červená obrazovka s textem, že všechny soubory jsou zašifrované. Sdílená složka s objednávkami se neotvírá. Někdo řekne: "Zavolejte počítačovému technikovi." Jenže jeho číslo je v kontaktech e-mailové schránky, a ta schránka je na stejném počítači. Jiný chce počítač hned vypnout. Třetí začne připojovat záložní disk, aby "všechno obnovil".
Všechny tři reakce jsou pochopitelné a dvě z nich situaci zhorší. Takhle to chodí téměř vždycky: pod tlakem lidé udělají to, co je napadne jako první. Incident je jakákoli událost, která ohrožuje dostupnost, spolehlivost nebo důvěrnost Vašich dat či systémů: napadený e-mailový účet, ransomware, ztracený notebook, e-mail s údaji o zákaznících odeslaný nesprávné osobě, převzatá webová stránka.
Cílem plánu není, aby všechno dopadlo dobře. Cílem je, abyste v první hodině neudělali chyby, které se už nedají napravit, a abyste věděli, komu zavolat.
Incidentní karta a plán pro případ incidentu: rozdíl
| Incidentní karta | Plán pro případ incidentu | |
|---|---|---|
| Co | Jedna stránka A4 s prvními kroky a čísly | Několik stránek s rolemi, dohodami a postupem podle druhu incidentu |
| Pro koho | Pro každého ve firmě | Pro majitele nebo osobu, která má na starost IT |
| Kde | Na papíře, na zdi u tiskárny, v šuplíku, jako fotka v telefonu | Na papíře i digitálně, s kopií mimo firmu |
| Kdy | První minuty | První hodiny a dny |
Pro firmu s dvěma až dvaceti lidmi je nejdůležitější karta. Plán může být krátký. Nizozemské národní centrum pro kybernetickou bezpečnost (NCSC) má pro ransomware podrobný plán reakce na incident (viz Další čtení); ten můžete použít jako výchozí bod a zkrátit ho.
Co patří na incidentní kartu
Dobrá karta odpovídá na pět otázek. Níže je šablona, kterou můžete převzít.
INCIDENTNÍ KARTA Pekařství Example verze: 1 datum: ..-..-....
1. VŠIMLI JSTE SI NĚČEHO PODEZŘELÉHO? (červená obrazovka, odeslán divný e-mail,
přihlášení nefunguje, neznámá platba, ztracený notebook, data poslaná
nesprávnému příjemci)
-> Nahlaste to OKAMŽITĚ: ............................ tel: ...............
Náhradník: .......................................... tel: ...............
Nahlásit je vždy správné. Nikdo za to neponese vinu.
2. PRVNÍ KROKY (nesnažte se to opravit sami)
[ ] Vytáhnout síťový kabel / vypnout wifi / zapnout režim letadlo. NEVYPÍNAT.
[ ] Odpojit USB a záložní disky. NEPŘIPOJOVAT.
[ ] Vyfotit obrazovku (telefonem).
[ ] Zapsat: čas, co jste viděli, co jste udělali.
[ ] Neplatit, nereagovat na vyděrače.
3. KOMU ZAVOLÁME?
IT podpora / správce ............................ tel: ...............
Hosting / e-mail ............................ tel: ...............
Banka (podvod, 24/7) ............................ tel: ...............
Pojišťovna (kybernetické) ............................ polis: .............
Policie (trestní oznámení) 158 nebo 112
ÚOOÚ, ohlášení úniku dat uoou.gov.cz (do 72 hodin)
Důležitý zákazník/dodavatel: ................... tel: ...............
4. KDO ROZHODUJE A KDO MLUVÍ?
Rozhoduje (vypnutí, obnova, nahlášení, platba): ..........................
Mluví se zákazníky, tiskem, zaměstnanci: ...................................
Vede deník incidentu: .......................................................
5. KDE CO NAJDETE?
Zálohy: .............................. (poslední test: ..-..-....)
Nouzový přístup do správce hesel: .........................................
Seznam systémů a účtů: ....................................................
Tento plán (digitálně) + kopie mimo firmu: ................................Některá rozhodnutí v této šabloně stojí za vysvětlení.
- "Nevypínat, ale odpojit." U ransomwaru NCSC doporučuje napadené zařízení okamžitě odpojit od sítě (kabel, wifi, mobilní síť), ale nevypínat ho; režim spánku je v pořádku. V operační paměti jsou stopy, které může potřebovat vyšetřovatel, a někdy i klíče k dešifrování. Odpojení zastaví šíření na další zařízení a na síťový disk.
- "Záložní disky nepřipojovat." Disk, který připojíte k napadenému počítači, se také zašifruje. Nejdřív musí být jisté, že prostředí je čisté (lekce 8.3).
- "Nahlásit je vždy správné." Zaměstnanec, který si jako první něčeho všimne, je Vaše nejlepší obrana. Pokud se bojí důtky, bude vyčkávat a Vy ztratíte hodiny. Viz také lekce 9.2.
- Čísla na papíře. Právě při velkém incidentu nefunguje e-mail, sdílený kalendář a někdy ani telefonní ústředna. Karta uložená jen v cloudu je pak nedostupná.
Tísňová linka 158 je určena Policii České republiky, linka 112 je jednotné evropské číslo tísňového volání. Kybernetický útok obvykle není případem pro linku 112, ale pro podání trestního oznámení u policie.
Role: kdo dělá co
V malé firmě dělá často všechno jedna osoba. Přesto si domluvte tři role, i kdyby je zastávaly dvě stejné osoby:
- Ten, kdo rozhoduje. Rozhoduje o vypnutí, obnově, nahlášení u ÚOOÚ, kontaktu s bankou a o tom, zda přizvat externího specialistu. Nejlépe majitel nebo ředitel, s pevně určeným zástupcem.
- Technická linka. Váš dodavatel IT, tvůrce webu nebo šikovný kolega. Dělá, co mu ten, kdo rozhoduje, řekne, a radí. Předem si domluvte, zda Vám dodavatel IT pomůže i při incidentu, jak rychle a za kolik; to je téma na lekci 7.2.
- Komunikátor. Mluví se zákazníky, zaměstnanci a případně s tiskem, aby ven šel jeden konzistentní příběh. Při úniku dat sem patří i informování dotčených osob (lekce 8.2).
Určete také někoho, kdo povede deník incidentu: čas, co se stalo, kdo co rozhodl. Zní to byrokraticky, ale budete to potřebovat pro ohlášení u ÚOOÚ (ten se ptá, kdy jste únik zjistili a co jste udělali), pro pojišťovnu, pro trestní oznámení a pro pozdější vyhodnocení.
Plán: pár pravidel pro každý druh incidentu
Kromě karty si pro každý běžný druh incidentu napište stručný postup. Pro začátek stačí čtyři:
| Incident | První kroky | Dále |
|---|---|---|
| Napadený e-mailový účet (odeslány divné e-maily, heslo nefunguje) | Změnit heslo z jiného, čistého zařízení; odhlásit všechny relace; zkontrolovat přeposílání a filtrovací pravidla; zapnout 2FA | Upozornit kontakty; zjistit, jaké e-maily byly přečteny nebo odeslány (možný únik dat, lekce 8.2) |
| Ransomware | Odpojit, nevypínat; odpojit zálohy; zavolat IT podporu; neplatit | Lekce 8.3: vyšetření, čistá obnova, trestní oznámení, No More Ransom |
| Ztracený notebook nebo telefon | Vzdáleně zamknout nebo vymazat; změnit hesla uložených účtů; zneplatnit relace | Byl disk šifrovaný? Pokud ne: možný únik dat (lekce 8.2) |
| Podezřelá platba nebo podvod s fakturou | Okamžitě zavolat bance (storno platby se někdy podaří jen při rychlém jednání); zavolat dodavateli na známé číslo | Trestní oznámení; nebyla napadená e-mailová schránka dodavatele nebo Vaše vlastní? (lekce 1.2) |
Zapište si také, které systémy jsou nejdůležitější, v pořadí podle priority. U Pekařství Example je to například: pokladna a platební terminál, dnešní objednávky, e-mail, účetnictví, webová stránka. Při obnově začínáte odshora. Viz také RPO a RTO v lekci 6.3.
Nácvik: půl hodiny u stolu
Plán, který nikdo nezná, nefunguje. Tabletop cvičení zabere půl hodiny: sejdete se u stolu s lidmi, kteří mají přiřazenou roli, a projdete scénář, aniž byste čehokoli fyzicky použili. Moderátor (může to být Vy sám) postupně popisuje, co se děje.
Příklad: "Je pátek 16:30. Účetní dostane e-mail od stálého dodavatele: IBAN se změnil, nevyrovnanou fakturu ve výši 8 400 eur prosím pošlete ještě dnes na nové číslo. Co uděláte?" A pak: "Je pondělí. Dodavatel volá: nic nedostal." U každého kroku se ptejte: kdo co dělá, komu zavoláte, kde to číslo najdete?
Po skončení si zapište, co chybělo. Téměř vždy je to telefonní číslo, heslo, které zná jen jedna osoba, nebo nejasnost v tom, kdo rozhoduje. Kartu upravte a uveďte na ní nové datum. Cvičit jednou ročně a projít kartu je pro malou firmu dobrý rytmus, stejně jako po každé velké změně (nový dodavatel IT, nový účetní program).
V praxi: jak to vypadá
Do karty zahrňte i konkrétní místa, kde můžete rychle zasáhnout u svých vlastních poskytovatelů. U WebOké je to například: zobrazení a odhlášení aktivních relací v Můj WebOké, postup "Moje webová stránka byla napadena" v návodu k DirectAdmin a obnovení ze zálohy. U jiných poskytovatelů hostingu, e-mailu a cloudu existují podobné funkce; najděte si je dřív, než je budete potřebovat, a zapište si, kde se nacházejí.
Shrnutí
- Incidentní karta (jedna stránka A4, na papíře) zajistí, že každý v prvních minutách udělá správnou věc: nahlásí to, odpojí, ale nevypne, nepřipojí zálohy, nic nezaplatí.
- Domluvte si role: kdo rozhoduje, kdo dělá technickou práci, kdo komunikuje, kdo vede deník incidentu.
- Pro každý běžný druh incidentu si napište stručný postup a pořadí důležitosti Vašich systémů.
- Čísla a plán uchovávejte i mimo své počítače.
- Jednou ročně si půl hodiny u stolu nacvičte postup a kartu aktualizujte.
Kvíz
Úkol
Úkol D8.1: Vaše vlastní karta pro řešení incidentů. Převezměte šablonu z této lekce a vyplňte ji pro svou vlastní firmu: skutečná jména, čísla a místa. Vytiskněte ji, pověste ji a udělejte si fotku do telefonu. Poté s jedním kolegou (nebo sami) během čtvrt hodiny projděte scénář se změněným IBAN z této lekce a zapište si, co Vám chybělo.
Úkol D8.1: Vaše vlastní karta pro řešení incidentů
Postupujte takto: (1) Převezměte šablonu níže (stránka kurzu ji nabízí i jako tisknutelnou stránku, žádné údaje se neposílají na server). (2) Vyplňte skutečná jména, telefonní čísla a místa. Alespoň jedno číslo zpětně ověřte telefonicky, zda je správné (například číslo pro nahlášení podvodu u Vaší banky, které bývá na zadní straně karty nebo v aplikaci). (3) Vytiskněte kartu, pověste ji na stálé místo a vyfoťte si ji do telefonu. Jednu kopii uložte mimo firmu (doma nebo u důvěryhodné osoby). (4) S jedním kolegou, nebo sami, si za čtvrt hodiny přehrajte scénář s IBAN z lekce (tabletop cvičení).
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Další čtení
Postupy v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje podobně.
- Příručka k DirectAdmin 18.2: Moje webová stránka byla napadena: postup krok za krokem
- Pomoc! Můj web byl napaden. Jak to vyřešit nebo tomu předejít?
- Příručka WebOké 3.6: Zobrazení aktivních relací a odhlášení
- NÚKIB, doporučení k řešení kybernetických incidentů: https://nukib.gov.cz/
- Nizozemské NCSC, plán reakce na ransomware (pdf, v nizozemštině): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
- Policie České republiky, jak postupovat při trestném činu: https://www.policie.gov.cz/