Globalne awarie Microsoft 365 i CrowdStrike. Czy firmy są gotowe na kryzys?

Awaria Microsoft 365, wcześniejszy globalny paraliż systemów Windows po błędzie CrowdStrike i czasowe wyłączanie usług z powodu krytycznych podatności pokazują, że zagrożeniem dla firm nie są wyłącznie cyberataki. Równie poważne konsekwencje mogą mieć błędy oprogramowania i problemy po stronie dostawców. Organizacje potrzebują więc planów ciągłości działania, które pozwolą im pracować także wtedy, gdy podstawowe systemy przestaną być dostępne.

Globalna awaria z 2024 roku, wywołana błędem oprogramowania CrowdStrike, doprowadziła do pojawienia się tzw. niebieskiego ekranu śmierci (BSOD) na około 8,5 mln urządzeń. Wiele organizacji musiało wtedy improwizować, podobnie jak podczas ostatnich problemów z Microsoft 365. Część pracowników przeniosła komunikację na prywatne skrzynki pocztowe, co z punktu widzenia bezpieczeństwa nie jest dobrym rozwiązaniem. Niedawne wyłączanie usług internetowych w związku z krytyczną podatnością PHP pokazało z kolei, że czasem odcięcie systemu od sieci jest konieczne, aby ograniczyć ryzyko.

Każdy taki incydent powinien skłaniać do sprawdzenia, czy firma wie, jak działać w sytuacji kryzysowej. Jak się okazuje, nie musi ona wynikać z ataku hakerów. Równie dobrze może ją spowodować awaria infrastruktury, błąd aktualizacji albo niedostępność zewnętrznej usługi.

„Tamten incydent (CrowdStrike – przyp. red) dostarczył nam cennych lekcji na przyszłość, wskazując na potrzebę ciągłego doskonalenia procedur bezpieczeństwa i gotowości na potencjalne zagrożenia, których źródłem niekoniecznie muszą być wrogie działania. Pytaniem otwartym pozostaje, czy ta lekcja została odrobiona? A może wyparliśmy taką konieczność kierując się mechanizmem nierealistycznego optymizmu, przyjmując założenie, że to już się stało i nawet jeśli stanie się kiedyś ponownie, to z pewnością akurat naszej organizacji zaistniały problem nie będzie dotyczyć” – komentuje Aleksander Kostuch, inżynier Stormshield.

Plan ciągłości działania to podstawa

Awaria systemów szybko przełożyć się może na straty finansowe. Firma, która nie ma dostępu do narzędzi komunikacyjnych, systemów sprzedażowych czy usług internetowych, może stracić możliwość obsługi klientów i realizacji zamówień. Dlatego plan ciągłości działania powinien określać, jak organizacja zareaguje na incydent, które procesy musi utrzymać i w jaki sposób przywróci dostęp do systemów.

Ważne są tu dwa wskaźniki: RTO (Recovery Time Objective), określający maksymalny akceptowalny czas przywrócenia usługi oraz RPO (Recovery Point Objective), wskazujący, jak duża utrata danych może być jeszcze dopuszczalna. Organizacja powinna też zadbać o kopie zapasowe aplikacji, baz danych i konfiguracji. Backup musi być przechowywany poza serwerem, którego awaria mogłaby uniemożliwić jego odzyskanie. Plan powinien uwzględniać również klęski żywiołowe i niedostępność usług zewnętrznych.

„Inwestycje w cyberbezpieczeństwo mają wymiar nie tylko techniczny, lecz także operacyjny i biznesowy. Niemożność świadczenia usług może skutkować utratą przychodów. A tak stanie się, gdy w wyniku podatności trzeba będzie czasowo wyłączyć usługi lub zostaniemy pozbawieni możliwości kontaktu z klientami. Z myślą o takich wypadkach niezbędne jest opracowanie w organizacji planu ciągłości działania w sytuacji kryzysowej” – mówi Piotr Zielaskiewicz z DAGMA Bezpieczeństwo IT.

Wymogi KSC obejmą nawet 70 tys. podmiotów

Do przygotowania takich procedur zobowiązuje również znowelizowana ustawa o krajowym systemie cyberbezpieczeństwa, która weszła w życie w kwietniu 2026 roku. Nowe przepisy obejmują podmioty kluczowe i ważne, a obowiązki mogą dotyczyć nawet 70 tys. organizacji w Polsce. Chodzi m.in. o zarządzanie incydentami i sytuacjami kryzysowymi oraz zapewnienie ciągłości działania.

W praktyce firmy muszą być przygotowane również na sytuację, w której dla ochrony poufności, integralności lub dostępności danych konieczne będzie czasowe wyłączenie usługi internetowej. Termin wdrożenia obowiązków w tym obszarze przypada na 3 kwietnia 2027 roku.

„Brak planu spowoduje chaos i najpewniej zdecydowanie większe straty finansowe. Dlatego nie powinno się odkładać tych przygotowań na później” – podkreśla Piotr Zielaskiewicz.

Uzależnienie od jednego dostawcy zwiększa ryzyko

Ostatnia awaria Microsoft 365 zwróciła uwagę na jeszcze jeden problem: koncentrację wielu procesów w jednym ekosystemie. Poczta, komunikacja zespołowa, przechowywanie plików i współpraca nad dokumentami często zależą od usług tego samego dostawcy. Jeśli przestają działać, firma może stracić dostęp do kilku narzędzi jednocześnie.

„Raczej nie spotyka się organizacji, które korzystałyby równolegle z niezależnych dostawców poczty elektronicznej lub systemów umożliwiających komunikację zdalną. Skala ostatniej awarii pokazuje, jak powszechne są usługi Microsoftu, a pośrednio także stopień uzależnienia od tego dostawcy” – twierdzi Piotr Zielaskiewicz.

Zdaniem eksperta, podobne incydenty powinny skłaniać firmy do przemyślenia dywersyfikacji dostawców. Dotyczy to zarówno narzędzi wykorzystywanych w codziennej pracy, jak i usług związanych z cyberbezpieczeństwem.