CSIRT

CSIRT (od computer security incident response team), także CERT (computer emergency response team), pol. zespół reagowania na incydenty bezpieczeństwa komputerowego – zespół specjalistów bezpieczeństwa teleinformatycznego, którego zadaniem jest przyjmowanie zgłoszeń o incydentach bezpieczeństwa komputerowego, ich analiza oraz koordynowanie reakcji na nie, a także zapobieganie zagrożeniom m.in. przez publikowanie ostrzeżeń i biuletynów bezpieczeństwa^[1]. Pierwszy taki zespół, CERT Coordination Center (CERT/CC), powstał w listopadzie 1988 roku na Uniwersytecie Carnegie Mellon w reakcji na epidemię robaka Morrisa^[2].

Historycznie pierwsza nazwa CERT jest zastrzeżonym znakiem towarowym Uniwersytetu Carnegie Mellon, który licencjonuje ją zespołom prowadzącym działalność tego typu; z tego powodu w Europie jako określenie rodzajowe preferowany jest skrót CSIRT^[1]. W użyciu są także warianty CIRT (computer incident response team) i IRT (incident response team)^[1]. Od CSIRT odróżnia się SOC (security operations center) – komórkę prowadzącą ciągłe monitorowanie infrastruktury; w praktyce zakresy obu funkcji częściowo się pokrywają, a w wielu organizacjach CSIRT działa w ramach SOC lub obok niego^[1]. W polskim porządku prawnym ustawa o krajowym systemie cyberbezpieczeństwa posługuje się nazwą „Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego”^[3].

3 listopada 1988 roku robak Morrisa sparaliżował znaczną część ówczesnego Internetu, infekując około 10% z sześćdziesięciu tysięcy podłączonych do niego komputerów^[4]. W reakcji na ten incydent agencja DARPA sfinansowała utworzenie pierwszego zespołu reagowania – CERT Coordination Center – działającego do dziś w Software Engineering Institute na Uniwersytecie Carnegie Mellon^[2]. Pierwszy europejski zespół, SURFnet-CERT, powołał w 1992 roku SURFnet, operator holenderskiej akademickiej sieci komputerowej^[5]. Wraz z rozwojem internetu zespoły CSIRT stały się standardowym elementem struktur państw, sektorów gospodarki i większych organizacji; w samym europejskim katalogu Trusted Introducer zarejestrowanych jest ponad 550 zespołów^[6].

Do typowych zadań CSIRT należą: przyjmowanie i analiza zgłoszeń o incydentach, koordynowanie ich obsługi między poszkodowanymi, dostawcami usług i innymi zespołami, publikowanie ostrzeżeń i zaleceń dotyczących podatności oraz złośliwego oprogramowania, koordynowane ujawnianie podatności, a także działalność zapobiegawcza: audyty, rozwój narzędzi bezpieczeństwa i edukacja użytkowników^[1][5].

Zespoły klasyfikuje się zwykle według obsługiwanej społeczności (constituency): wyróżnia się CSIRT-y wewnętrzne (obsługujące jedną organizację), komercyjne (świadczące usługi klientom), akademickie, wojskowe, rządowe, sektorowe (np. dla sektora finansowego lub energetycznego) oraz narodowe, pełniące funkcję punktu kontaktowego „ostatniej instancji” dla całego kraju^[1][5].

Globalną organizacją zrzeszającą zespoły reagowania jest założone w 1990 roku Forum of Incident Response and Security Teams (FIRST), liczące kilkaset zespołów członkowskich z całego świata^[7]. W Europie współpracę koordynuje grupa robocza TF-CSIRT, przy której od 2000 roku działa usługa Trusted Introducer – prowadzony przez społeczność rejestr zespołów, który po formalnej weryfikacji przyznaje zespołom akredytację, a po audycie dojrzałości według modelu SIM3 – certyfikację^[8]. Działania zespołów w Unii Europejskiej wspiera Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), a dyrektywa NIS z 2016 roku powołała sieć CSIRTs Network, skupiającą zespoły wyznaczone przez państwa członkowskie oraz CERT-EU – zespół instytucji unijnych^[9].

 Osobny artykuł: Krajowy system cyberbezpieczeństwa.

Pierwszym polskim zespołem reagowania jest działający od listopada 1996 roku w strukturach NASK zespół CERT Polska; od 1998 roku należy on do FIRST, a od 2000 roku do TF-CSIRT i Trusted Introducer^[10]. Ustawa o krajowym systemie cyberbezpieczeństwa z 5 lipca 2018 roku powołała trzy zespoły poziomu krajowego o rozłącznych właściwościach: CSIRT GOV (prowadzony przez ABW), CSIRT MON (resort obrony narodowej) oraz CSIRT NASK, którego zadania realizuje CERT Polska^[3][10].

Obok zespołów krajowych działają sektorowe zespoły cyberbezpieczeństwa: CSIRT KNF, powołany przez Komisję Nadzoru Finansowego dla sektora finansowego (formalnie od 1 lipca 2020 roku), oraz CSIRT CeZ prowadzony przez Centrum e-Zdrowia dla ochrony zdrowia; wdrożenie dyrektywy NIS 2 przewiduje tworzenie kolejnych CSIRT-ów sektorowych, m.in. dla przemysłu przy Urzędzie Dozoru Technicznego^[11][12].

Polskie zespoły są aktywne w strukturach międzynarodowych: według stanu z sierpnia 2026 roku w katalogu Trusted Introducer zarejestrowane są 43 zespoły z Polski, z czego 21 ma akredytację (m.in. CSIRT KNF, CERT Allegro, CERT mBank i ComCERT), a 7 – certyfikację (m.in. CERT Polska, CERT Orange Polska, CERT PKO Bank Polski, PGE-CERT i GAZ-SYSTEM CERT)^[6].

• Blue team
• Zarządzanie kryzysowe

• FIRST (ang.)
• Trusted Introducer (ang.)