Procedura obsługi incydentów bezpieczeństwa

Jak Verbalu postępuje z incydentem bezpieczeństwa: kto go wykrywa, kto podejmuje decyzje oraz kto i w jakim czasie powiadamia klienta.

Wersja 1.0, obowiązuje od 12 listopada 2026. Procedura jest nowa i nie była jeszcze sprawdzona ćwiczeniem. Terminy powiadomień są zgodne z umową powierzenia przetwarzania danych; jeżeli umowa z klientem stanowi inaczej, pierwszeństwo ma umowa.

1. Cel i zakres

Incydentem jest każde zdarzenie, które narusza albo może naruszyć poufność, integralność lub dostępność danych klientów albo samej usługi Verbalu: nieuprawniony dostęp, ujawnienie, utrata albo zmiana danych, przejęcie konta, wykryta podatność oraz awaria. Procedura obejmuje naruszenia ochrony danych osobowych w rozumieniu RODO i incydenty, o których klient będący podmiotem objętym dyrektywą NIS2 musi wiedzieć jako odbiorca usługi.

2. Role

Zgłaszający: każda osoba, która zauważy zdarzenie, w tym pracownik i współpracownik Octigo, klient, uczestnik albo badacz bezpieczeństwa. Koordynator incydentu: osoba z zespołu Verbalu, która odbiera zgłoszenia i alarmy, prowadzi obsługę incydentu od przyjęcia do zamknięcia i dokumentuje jej przebieg. Decydent: członek zarządu Octigo sp. z o.o., który zatwierdza klasyfikację incydentów o poziomie wysokim i krytycznym oraz decyduje o powiadomieniu klientów i organów, o wyłączeniu funkcji albo usługi i o zaangażowaniu prawnika. Kontakt klienta: osoba wskazana przez klienta w umowie albo w załączniku bezpieczeństwa. Octigo jest małym zespołem, więc jedna osoba może łączyć role koordynatora i decydenta; decyzję o powiadomieniu zawsze podejmuje członek zarządu.

3. Kto wykrywa

Incydent może wykryć system albo człowiek. Automatycznie: dziennik audytu wysyła alarm e-mailem przy podejrzeniu zgadywania hasła, przy nadaniu uprawnień administratora Verbalu oraz przy niezgodności wpisów z nocną pieczęcią; zewnętrzny monitor UptimeRobot zgłasza niedostępność strony (https://stats.uptimerobot.com/67oKoekA03); usługa zgłasza e-mailem błędy dostawców AI; Google Cloud i pozostali podwykonawcy zawiadamiają o zdarzeniach po swojej stronie. Przez ludzi: zgłoszenia klientów, użytkowników i badaczy bezpieczeństwa na adres hello@verbalu.com oraz obserwacje zespołu. Każda osoba z zespołu, która zauważy zdarzenie, przekazuje je koordynatorowi natychmiast, bez samodzielnej oceny, czy to „prawdziwy” incydent.

4. Klasyfikacja

Krytyczny: potwierdzony nieuprawniony dostęp do danych klientów, ich utrata albo ujawnienie, albo niedostępność całej usługi. Wysoki: prawdopodobne naruszenie danych, przejęcie konta właściciela organizacji albo administratora, albo niedostępność kluczowej funkcji, takiej jak logowanie czy dołączanie do sesji. Średni: podatność bez śladów wykorzystania albo awaria pojedynczego narzędzia. Niski: zdarzenie bez wpływu na dane i dostępność. Poziom można zmienić w trakcie obsługi, gdy pojawią się nowe ustalenia; w razie wątpliwości przyjmuje się poziom wyższy.

5. Kto decyduje

Koordynator potwierdza przyjęcie zgłoszenia i wstępnie klasyfikuje zdarzenie. Incydent o poziomie wysokim albo krytycznym przekazuje decydentowi niezwłocznie. Decydent zatwierdza poziom, decyduje o działaniach ograniczających skutki, które wpływają na klientów (zablokowanie kont, wyłączenie funkcji, przerwa w działaniu usługi), oraz o treści i adresatach powiadomień. Każdą decyzję koordynator zapisuje w rejestrze incydentów razem z czasem jej podjęcia. Incydenty o poziomie niskim i średnim koordynator obsługuje samodzielnie i informuje o nich decydenta w przeglądzie okresowym.

6. Powiadomienie klienta

Klienta powiadamia koordynator, po zatwierdzeniu treści przez decydenta. Powiadomienie trafia e-mailem do kontaktu wskazanego przez klienta, a dodatkowo telefonicznie, jeżeli klient podał numer. Termin: bez zbędnej zwłoki, nie później niż 24 godziny od stwierdzenia, że incydent dotyczy danych klienta albo istotnie ogranicza dostępność usługi dla niego. Pierwsze powiadomienie zawiera to, co wiadomo: charakter zdarzenia, kategorie i przybliżoną liczbę osób oraz wpisów, których dotyczy, możliwe konsekwencje, podjęte i planowane środki oraz dane osoby do kontaktu. Jeżeli części informacji nie da się podać od razu, przekazujemy je etapami: informację uzupełniającą w ciągu 72 godzin od stwierdzenia, a raport końcowy z przyczyną i środkami zapobiegawczymi w ciągu 30 dni od zamknięcia incydentu.

7. Powiadomienie organów i osób, których dane dotyczą

Dla danych uczestników i studentów administratorem jest klient, a Octigo podmiotem przetwarzającym: zawiadamiamy klienta, a to klient ocenia, czy zgłosić naruszenie organowi nadzorczemu i osobom, których dane dotyczą. Pomagamy mu w tym, przekazując informacje potrzebne do zgłoszenia. Dla danych kont trenerów i organizatorów administratorem jest Octigo: naruszenie zgłaszamy Prezesowi Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla praw lub wolności osób, a przy wysokim ryzyku zawiadamiamy także te osoby. Klientowi, który sam podlega NIS2, przekazujemy informacje potrzebne do jego wczesnego ostrzeżenia (24 godziny) i zgłoszenia incydentu (72 godziny).

8. Ograniczenie skutków i przywrócenie działania

W zależności od zdarzenia: zablokowanie albo wylogowanie kont, wymiana kluczy i haseł dostępowych, wyłączenie funkcji, poprawka i wdrożenie, a w razie utraty danych odtworzenie z kopii zapasowej (najgorszy punkt odtworzenia to ostatnia cotygodniowa kopia). Dowody zabezpieczamy przed zmianą: dziennik audytu aplikacji jest przechowywany 13 miesięcy i chroniony sumami kontrolnymi oraz dziennymi pieczęciami, a operacje na infrastrukturze rejestrują dzienniki Google Cloud.

9. Zamknięcie i wnioski

Incydent zamyka koordynator, a przy poziomie wysokim i krytycznym decydent. Każdy incydent trafia do rejestru incydentów prowadzonego przez Octigo: opis, czas wykrycia, poziom, decyzje, powiadomienia, przyczyna i środki naprawcze. Po incydencie wysokim albo krytycznym sporządzamy przegląd z wnioskami. Procedurę przeglądamy co najmniej raz w roku oraz po każdym incydencie wysokim albo krytycznym.

10. Kontakt

Zgłoszenia: hello@verbalu.com, temat „Incydent bezpieczeństwa”. W zgłoszeniu podaj, co i kiedy zauważono, jakiej organizacji albo sesji dotyczy i jak się z Tobą skontaktować. Nie przesyłaj w zgłoszeniu haseł ani danych osobowych osób trzecich.

Etap	Termin	Kto i co robi
Przyjęcie zgłoszenia	Najpóźniej w następnym dniu roboczym	Koordynator potwierdza zgłaszającemu przyjęcie i zakłada wpis w rejestrze incydentów.
Wstępna klasyfikacja	W dniu przyjęcia zgłoszenia	Koordynator nadaje poziom: niski, średni, wysoki albo krytyczny.
Eskalacja	Niezwłocznie	Koordynator przekazuje incydent wysoki albo krytyczny członkowi zarządu Octigo.
Decyzja o powiadomieniu	Przed upływem terminu powiadomienia	Członek zarządu zatwierdza poziom, adresatów i treść powiadomienia.
Pierwsze powiadomienie klienta	Do 24 godzin od stwierdzenia	Koordynator: e-mail do kontaktu klienta, dodatkowo telefon, jeżeli podano numer.
Informacja uzupełniająca	Do 72 godzin od stwierdzenia	Koordynator: zakres, ocena skutków, podjęte i planowane środki.
Zgłoszenie do UODO	Do 72 godzin od stwierdzenia	Członek zarządu, tylko gdy administratorem danych jest Octigo. W pozostałych przypadkach zgłasza klient, z naszą pomocą.
Raport końcowy	Do 30 dni od zamknięcia	Koordynator: przyczyna, przebieg, środki zapobiegawcze. Zatwierdza członek zarządu.