CSIRT

CSIRT (Computer Security Incident Response Team) to zespół reagowania na incydenty bezpieczeństwa komputerowego. FIRST definiuje go jako jednostkę organizacyjną, także wirtualną, albo zdolność, która świadczy usługi określonej społeczności w zakresie zapobiegania incydentom bezpieczeństwa komputerowego, ich wykrywania, obsługi i reagowania na nie ^[1]. Tą społecznością może być firma, uczelnia, sektor gospodarki albo całe państwo. W Polsce poziom krajowy tworzą trzy zespoły: CSIRT GOV, CSIRT MON i CSIRT NASK ^[3].

Jak działa

Podstawą pracy CSIRT-u jest przyjmowanie zgłoszeń i koordynacja obsługi incydentu. Zespół ocenia zgłoszenie, ustala jego wagę w procesie triażu (triage), analizuje ślady, pomaga ograniczyć skutki i informuje innych o zagrożeniu. Cykl obsługi pokazuje schemat poniżej.

RYS. 1Obsługa zgłoszenia w CSIRT

Dyrektywa NIS2 wymienia zadania krajowych CSIRT-ów. Należą do nich monitorowanie i analizowanie cyberzagrożeń, podatności i incydentów, wczesne ostrzeganie i alarmowanie podmiotów oraz reagowanie na incydenty i udzielanie pomocy podmiotom kluczowym i ważnym ^[2]. Dyrektywa wymaga też, by CSIRT miał kanały komunikacji o wysokiej dostępności, personel zapewniający nieprzerwaną dostępność usług oraz systemy redundantne i rezerwowe miejsce pracy ^[2].

Usługi

FIRST porządkuje usługi CSIRT-u w pięć obszarów ^[1]. Zaznacza przy tym, że żaden zespół nie musi świadczyć wszystkich; wybór zależy od misji i społeczności ^[1].

Obszar świadomości sytuacyjnej łączy się z threat intelligence, a obszar podatności z zarządzaniem podatnościami.

CSIRT w Polsce

Ustawa o krajowym systemie cyberbezpieczeństwa definiuje trzy zespoły poziomu krajowego ^[3]; opisuje je hasło CERT Polska / CSIRT NASK, CSIRT GOV, CSIRT MON. Zakresy właściwości MON i NASK w tabeli podano według tekstu jednolitego ogłoszonego w Dz.U. 2026 poz. 20, czyli sprzed nowelizacji ze stycznia 2026 roku.

CSIRT GOV opisuje siebie jako zespół prowadzony przez Szefa Agencji Bezpieczeństwa Wewnętrznego, pełniący rolę zespołu CSIRT poziomu krajowego odpowiedzialnego za koordynację reagowania na incydenty komputerowe ^[5]. Zadania CSIRT NASK realizuje CERT Polska, zespół działający w strukturach NASK ^[6]; rok 2025 zamknął trzecią dekadę jego działalności ^[6].

Nowelizacja z 23 stycznia 2026 roku, wdrażająca NIS2, wprowadziła pojęcie CSIRT-u sektorowego: zespołu działającego na poziomie sektora lub podsektora, ustanowionego przez organ właściwy do spraw cyberbezpieczeństwa ^[4]. Według tej nowelizacji podmiot kluczowy lub ważny zgłasza wczesne ostrzeżenie o incydencie poważnym do właściwego CSIRT-u sektorowego w ciągu 24 godzin od wykrycia, a samo zgłoszenie incydentu w ciągu 72 godzin ^[4]. Sprawozdanie końcowe składa się w ciągu miesiąca od zgłoszenia ^[4]. CSIRT sektorowy przekazuje te informacje do CSIRT MON, CSIRT NASK albo CSIRT GOV nie później niż 8 godzin od otrzymania ^[4]. Szerzej opisuje to hasło obowiązek zgłaszania incydentów; podobne terminy — 24 godziny, 72 godziny i miesiąc — zawiera motyw 102 dyrektywy NIS2 ^[2].

W WordPressie

Dla ekosystemu WordPressa najważniejsza jest rola CSIRT-u w skoordynowanym ujawnianiu podatności (coordinated vulnerability disclosure). NIS2 przewiduje CSIRT wyznaczony do roli koordynatora, który identyfikuje podmioty, których dotyczy podatność, pomaga zgłaszającym i negocjuje harmonogram ujawnienia ^[2]. W Polsce nowelizacja z 2026 roku powierza tę funkcję CSIRT NASK ^[4]. Każdy może zgłosić do niego wykrytą podatność, także anonimowo przez formularz, a zespół informuje producenta i w razie potrzeby koordynuje komunikację w sprawie terminu ujawnienia ^[4]. Może to dotyczyć również podatności we wtyczce polskiego producenta, który nie odpowiada badaczowi.

Sam projekt WordPress ma zespół pełniący podobną funkcję dla własnego oprogramowania. Zespół bezpieczeństwa WordPressa liczy ponad 50 zaufanych ekspertów, w tym głównych programistów i badaczy bezpieczeństwa ^[8]. Przyjmuje zgłoszenia prowadzone zgodnie z zasadą odpowiedzialnego ujawniania, przygotowuje poprawki i przenosi je do starszych wersji ^[8]. Podatności we wtyczkach i motywach z katalogu WordPress.org zgłasza się zespołom rozwijającym daną wtyczkę lub motyw ^[8].

Właściciel strony styka się z CSIRT-em zwykle w dwóch sytuacjach: gdy zgłasza incydent, na przykład podmianę treści strony (defacement), albo gdy otrzymuje od zespołu informację, że jego witryna rozsyła phishing lub złośliwe oprogramowanie.

Znaczenie

CSIRT łączy wiedzę z wielu incydentów. Ostrzeżenie wydane po jednym ataku pozwala innym podmiotom zablokować ten sam schemat, zanim zostaną zaatakowane. Tym różni się od zespołu SOC, który skupia się na ciągłym monitorowaniu jednej organizacji. CERT Polska zaznacza, że jego rekomendacje dla zespołów CSIRT można odpowiednio stosować także do innych zespołów, takich jak CERT, SOC czy ISAC ^[7]. Celem rekomendacji jest, by nowe zespoły osiągnęły co najmniej podstawowy poziom dojrzałości według modelu ENISA ^[7].

Z punktu widzenia organizacji CSIRT jest elementem szerszego procesu reagowania na incydenty, a w podmiotach objętych ustawą o krajowym systemie cyberbezpieczeństwa (KSC) — także adresatem obowiązkowych zgłoszeń.