O podatnościach. I jak nimi zarządzać w świetle uKSC

Michał Nowakowski · 23 października 2026

Poranek, pijesz drugie espresso i czujesz luz zbliżającego się weekendu. Aż tu nagle…

Poranek, pijesz drugie espresso i czujesz luz zbliżającego się weekendu. Aż tu nagle…

… na portalach społecznościowych pojawiają się nieciekawe informacje o tym, że Twoje oprogramowanie może być dziurawe. No i to jest problem o dużej skali, bo może dotyczyć wielu obszarów generować ryzyko dla nas i naszych klientów. Masz na to receptę?

Wczoraj zostały opublikowane rekomendacje Pełnomocnika Rządu ds. cyberbezpieczeństwa, które dotyczą dużej podatności. Tak dużej, że „(…) stosowanie oprogramowania z ww. podatnościami ma negatywny wpływ na bezpieczeństwo publiczne i istotny interes bezpieczeństwa państwa”.

Zakładając, że jesteśmy podmiotem ważnym lub kluczowym, ale także dostawcą w ramach łańcucha dostaw, musimy mieć pewne mechanizmy, które pozwolą odpowiednio zareagować. Oczywiście jest tak, że informacje o tego typu zdarzeniach nie powinny do nas trafiać wyłącznie z mediów społecznościowych. Trzeba mieć "źródełko wiedzy", o którym bezpiecznicy wiedzą i z którego korzystają, ale nie każdy ma - jeszcze - swojego bezpiecznika.

To do czego obliguje nas ustawa o krajowym systemie cyberbezpieczeństwa to między innymi:

✅ zapewnienie, że nasze oprogramowanie jest regularnie aktualizowane, aby uniknąć wykorzystania podatności, która jest wynikiem braku jej usunięcia, gdy było to możliwe,

✅ posiadanie mechanizmów zapewniających bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu IT - to może oznaczać konieczność upewnienia się, że w toku wykorzystania mamy informacje o podatnościach i sposobach ich usunięcia, że dostajemy od dostawcy aktualizacje etc.,

✅ zapewnienie bezpieczeństwa i ciągłości naszego łańcucha dostaw produktów, usług i procesów ICT, co oznacza też, że musimy mieć świadomość i reagować na zdarzenia, które mogą mieć wpływ na „coś innego”,

✅ stosowanie odpowiednich (i adekwatnych) środków, które zapobiegają i ograniczają wpływ ewentualnych incydentów.

Oczywiście samo odkrycie podatności nie jest jeszcze incydentem. To ważne. Niemniej jednak, gdyby doszło do incydentu, to musimy mieć odpowiednie mechanizmy działania, w tym w zakresie tzw. disaster recovery. Musimy to wszystko tak ze sobą "pożenić", żeby nie blokowało biznesu, ale jednocześnie było realnym zabezpieczeniem na wypadek wpadki.

I tu jeszcze jedna uwaga. Cyberresilience Act od 14 września zobowiązuje producentów m.in. oprogramowania czy urządzeń IoT z cyfrowymi komponentami do raportowania tzw. „aktywnie wykorzystywanych podatności”. Stąd też informacje te trafiają nie tylko do „nas”, ale również do ENISA.

Warto pamiętać o tym, że obowiązki (ale i nasza moralna odpowiedzialność za dane) w obszarze cyberbezpieczeństwa są szerokie, ale ich nieznajomość nie zwalnia nas z ewentualnej odpowiedzialności prawnej czy regulacyjnej.