KSC 2.0 a SOC — dlaczego ciągły monitoring jest praktycznie obowiązkowy

Cztery obowiązki, jeden wniosek

KSC 2.0 nie wymaga wprost posiadania SOC. Nigdzie w ustawie nie znajdziesz słowa „SOC". Ale wymaga czterech rzeczy, które bez ciągłego monitoringu są niewykonalne.

1. Raportowanie incydentów w 24 godzinach

24 godziny od wykrycia. Nie od poniedziałkowego spotkania. Nie od przyjazdu IT do biura.

76% ataków ransomware zaczyna się w nocy, w weekend albo w święta. Atakujący znają rozkłady zmian IT. Jeśli atak startuje w piątek o 23:00 i nikt go nie wykrywa do poniedziałku — termin 24h jest przekroczony, zanim ktokolwiek się dowie.

To jest powód, dla którego SOC z monitoringiem 24/7 przestaje być „miło mieć" i staje się operacyjną koniecznością.

2. Ciągły monitoring infrastruktury

KSC 2.0 wymaga wdrożenia środków technicznych i organizacyjnych zapewniających bezpieczeństwo sieci i systemów. W praktyce: zbieranie i analiza logów, wykrywanie anomalii, zdolność do reakcji w czasie rzeczywistym.

Firewall i antywirus to narzędzia. Bez kogoś, kto patrzy na to, co raportują — 24 godziny na dobę — to sprzęt, który miga lampkami w pustym pokoju.

3. Ciągłość dowodowa — logi poza zasięgiem atakującego

KSC 2.0 wymaga zdolności do analizy post-incydentowej. Do tego potrzebne są logi. Problem: profesjonalni atakujący o logach wiedzą.

Jedną z pierwszych rzeczy, które robi atakujący po uzyskaniu dostępu, jest likwidacja śladów. Wyłączenie agentów monitoringu. Zatrzymanie usług logowania. Nadpisanie lub zaszyfrowanie dzienników. Modyfikacja timestampów.

Jeśli logi leżą na serwerze, który został skompromitowany — nie odtworzysz łańcucha ataku. Nie przygotujesz raportu końcowego. Nie powiesz organowi nadzorczemu „co się stało" — bo nie będziesz wiedział.

Rozwiązanie jest proste, ale wymaga decyzji: logi w chmurze. Wysyłane w czasie rzeczywistym do chmurowego SIEM-a — w naszym przypadku Microsoft Sentinel w Azure. Poza zasięgiem lokalnego atakującego. Ransomware zaszyfruje całą infrastrukturę on-premises, ale logi w chmurze zostaną nienaruszone.

To nie jest dodatkowa usługa. To fundament, na którym stoi operacja monitoringu i compliance.

4. Nadzór nad łańcuchem dostaw

Nowy obowiązek KSC 2.0. Musisz wiedzieć, jak chronieni są Twoi dostawcy — bo atak na dostawcę to atak na Ciebie.

Dlaczego to realne: atakujący coraz częściej włamują się do mniejszej, słabiej zabezpieczonej firmy — dostawca IT, biuro rachunkowe, firma serwisowa — która ma połączenie VPN lub RDP do Twojej sieci. Twój firewall jest mocny. Pytanie, czy firewall Twojego dostawcy też.

SOC widzi te połączenia. Monitoruje ruch z sieci dostawców. Wykrywa anomalie w sesjach VPN. Dostawca, który zarządza tylko Twoim firewallem — tego nie widzi.

Trzy alternatywy — i dlaczego dwie nie działają

Firma, która podlega KSC 2.0, ma trzy opcje na spełnienie obowiązków monitoringu.

Opcja 1: Własny zespół 24/7. Minimum 6 analityków na zmiany (trzy zmiany po dwóch). Platforma SIEM, szkolenia, infrastruktura. Koszt roczny: 1,25–2,4 mln PLN. Dla firmy 200–500 osób to budżet, który rzadko przechodzi rozmowę z CFO. Dla firm 50–200 osób — nierealistyczny.

Opcja 2: IT na dyżurze. Informatyk z telefonem pod poduszką. W teorii „monitoring 24/7". W praktyce: alert o 3 w nocy dzwoni na telefon osoby, która śpi od 3 godzin, nie zna kontekstu zdarzenia i musi najpierw zalogować się do VPN, potem do SIEM-a, potem odtworzyć co się dzieje. Czas reakcji: 30–60 minut w optymistycznym scenariuszu. Jakość decyzji: proporcjonalna do poziomu wybudzenia.

Widzieliśmy to wielokrotnie. Zmęczony admin o 3 w nocy klika „dismiss" na alert, który okazuje się prawdziwym atakiem. Nie z lenistwa — z przeciążenia. 200 alertów dziennie, z których 195 to false positive. Po tygodniu takich dyżurów ludzie przestają traktować alerty poważnie.

Opcja 3: Managed SOC. Zewnętrzny zespół analityków z dedykowaną platformą, który monitoruje Twoje środowisko 24/7/365. Koszt: ułamek opcji 1. Jakość: lepsza niż opcja 2, bo to ludzie, którzy robią tylko to — nie biegają jednocześnie po helpdesku.

Żadna z tych opcji nie jest idealna. Własny SOC jest najlepszy pod względem znajomości środowiska, ale nierealistyczny kosztowo. Managed SOC wymaga zaufania do zewnętrznego partnera — i dobrego onboardingu, żeby analitycy poznali Twoją firmę. Informatyk na dyżurze to kompromis, który w praktyce oznacza brak kompromisu na niczym.

Compliance na papierze nie reaguje na ransomware o 3 w nocy

Można napisać dokumentację. Polityki, procedury, checklisty. Odhaczyć każdy punkt KSC 2.0. I mieć poczucie, że jest dobrze.

A potem atak zdarza się w weekend. Schemat powtarza się co kilka miesięcy:

Firma ma dokumentację compliance. Nie ma ciągłego monitoringu. Atak w sobotę. Nikt nie wykrywa przez 48+ godzin. Termin raportowania przekroczony. Logi zniszczone — brak dowodów do analizy. Zarząd dowiaduje się o incydencie od klienta, nie od swojego IT.

Compliance bez operacyjności to teatr. Dokumentacja mówi, co firma powinna robić. SOC faktycznie to robi.

Co daje SOC w kontekście KSC 2.0

Jak wygląda monitoring w praktyce — nie w teorii

Wiele firm myśli o monitoringu jak o dashboardzie z zielonymi lampkami. Wszystko zielone — jest dobrze. Coś czerwone — ktoś reaguje. To nie jest monitoring. To jest panel kontrolny bez operatora.

Realny monitoring SOC to ludzie, którzy analizują zdarzenia w kontekście. Alert „logowanie z nieznanego IP" w izolacji nie mówi nic. Ten sam alert w kontekście „użytkownik, który nigdy nie logował się zdalnie, połączył się z Rumunii o 3 w nocy, pobrał narzędzie administracyjne i odpytał kontroler domeny" — to lateral movement po przejęciu credentiali.

Tę korelację robi analityk wspierany przez SIEM i AI. Nie robi jej antywirus. Nie robi jej firewall. Nie robi jej dashboard z lampkami.

Co monitorujemy w kontekście KSC 2.0

Endpointy — aktywność na stacjach roboczych i serwerach. Podejrzane procesy, nietypowe zachowania, próby eskalacji uprawnień.

Tożsamość — logowania, MFA, Conditional Access. Kto, skąd, kiedy, w jaki sposób. Anomalie w wzorcach logowania.

Poczta — phishing, BEC, złośliwe załączniki. Filtr pocztowy blokuje znane zagrożenia. SOC widzi te, które przeszły przez filtr.

Sieć — ruch wewnętrzny (lateral movement), komunikacja z C2, exfiltracja danych. Połączenia z sieciami dostawców.

Chmura — Azure, M365. Zmiany konfiguracji, udostępnianie danych, tworzenie kont administracyjnych.

To nie jest lista kontrolna do odhaczenia. To źródła telemetrii, które SOC koreluje w jednym widoku. KSC 2.0 wymaga „środków technicznych zapewniających bezpieczeństwo" — ciągła korelacja tych źródeł jest najskuteczniejszym znanym sposobem, żeby to zapewnić.

SOC nie jest wymogiem prawnym. Jest wymogiem operacyjnym.

Warto to powiedzieć wprost: ustawa nie wymaga SOC. Możesz spełnić wymogi KSC 2.0 własnymi siłami — jeśli masz zespół bezpieczeństwa pracujący 24/7, platformę SIEM z retencją logów w chmurze, udokumentowane procedury reagowania i doświadczenie w obsłudze incydentów.

Budowa takiego zespołu od zera kosztuje 1,25–2,4 mln PLN rocznie. Dla firmy 150–500 pracowników to budżet trudny do uzasadnienia — szczególnie gdy Managed SOC daje to samo za ułamek ceny.

Ale to Twoja decyzja. Naszą rolą jest powiedzieć, jakie są opcje i ile kosztują. Porównanie kosztów SOC vs kary KSC 2.0 stawia te liczby obok siebie.

Pytanie, które zmienia rozmowę

Nie „czy oferujesz SOC", lecz:

Jeśli chcę powierzyć bezpieczeństwo mojej firmy Twojemu zespołowi — czy jesteście świadomi odpowiedzialności, jaką to niesie? Czy potraficie zrobić więcej niż tylko wysłać alert? Czy potraficie wykrywać, reagować, budować codziennie bardziej odporną organizację i pomóc mi dotrzymać wymogów KSC 2.0?

To pytanie weryfikuje, czy masz do czynienia z partnerem operacyjnym, czy z kolejnym dostawcą powiadomień e-mail.

Poznaj SecIQ SOC | Umów konsultację

Źródła

• KSC 2.0 — ustawa, terminy, obowiązki
• KSC 2.0 — raportowanie incydentów 24h/72h/30 dni
• KSC 2.0 — kary dla zarządu i firmy
• Co to jest SOC — kompletny przewodnik