NOC: czy usługi działają?
Brak łączności, przeciążony serwer, kończące się miejsce, problem z kopią lub zanik zasilania. Monitoring infrastruktury pomaga zauważyć awarię i skierować ją do właściwego zespołu.
Monitoring infrastruktury i SOC dla JST
Nadzoruj dostępność usług i wykrywaj sygnały ataków. Połącz NOC, analizę logów i XDR w usługę dopasowaną do obecnej infrastruktury Twojej jednostki.
SOC + SIEM + XDR + NOC DLA JSTTwój urząd kończy pracę.
Twój urząd kończy pracę.
Zagrożenia nie.
Rozszerz monitoring infrastruktury o wykrywanie zagrożeń i obsługę zdarzeń bezpieczeństwa. SOC LCPD to usługa dla Twoich obecnych serwerów, komputerów i sieci — niezależnie od tego, kto je dostarczył.
Twój sprzęt. Nasza usługa. Wariant nadzoru 24/7 z zakresem reakcji określonym w umowie.
Dostępność to połowa obrazu. Druga to bezpieczeństwo.
SOC: czy dzieje się coś podejrzanego?
Nietypowe logowanie, zmiana uprawnień, podejrzany proces lub ruch między strefami. Analiza zdarzeń pozwala szukać sygnałów ataku także wtedy, gdy wszystkie urządzenia nadal odpowiadają.
Połączenie SOC i NOC daje kontekst do oceny zdarzenia. Skok obciążenia może oznaczać legalne zadanie, awarię albo nadużycie. Decyzja wymaga danych z kilku źródeł, a nie tylko czerwonej kontrolki.
Co zyskuje Twoja jednostka?
Wsparcie lokalnego informatyka
Zamiast pozostawiać administratora z kolejnym panelem, ustalamy sposób analizy i eskalacji. JST otrzymuje opis zdarzenia, jego znaczenie i uzgodnione działania.
Widoczność poza godzinami urzędu
W wariancie 24/7 planujemy obsługę także nocą i w dni wolne. Przed uruchomieniem uzgadniamy dyżury, kontakty awaryjne oraz uprawnienia do podjęcia działań.
Wykorzystanie obecnego sprzętu
Usługa nie wymaga zakupu nowej serwerowni. Najpierw sprawdzamy istniejące urządzenia, systemy i dostępne logi, a następnie wskazujemy rzeczywiste braki.
Czytelna informacja dla kierownictwa
Raport obejmuje incydenty, istotne ryzyka i zadania wymagające decyzji. Pozwala rozmawiać o ochronie usług publicznych, a nie tylko o liczbie alarmów.
Jakich sygnałów szukamy?
Przykładowe scenariusze dobieramy podczas wdrożenia do dostępnej telemetrii. Każdy z nich wymaga właściwych źródeł, konfiguracji i testu — sama instalacja agenta nie gwarantuje wykrycia każdego ataku.
Przejęcie konta
Serie nieudanych logowań, nietypowe użycie kont uprzywilejowanych i nieoczekiwane zmiany uprawnień. Analiza uwzględnia kontekst pracy użytkownika i serwisu.
Podejrzane działania na komputerze
Alerty XDR/EDR, nietypowe procesy, zmiany zabezpieczeń i oznaki aktywności złośliwego oprogramowania. Reakcję dobieramy do pewności ustaleń i krytyczności urządzenia.
Ruch pomiędzy strefami sieci
Próby połączeń z usługami administracyjnymi, nietypowe kierunki komunikacji i zmiany reguł zapory. Logi sieciowe uzupełniamy danymi przepływów, jeżeli sprzęt je udostępnia.
Utrata widoczności lub odporności
Zatrzymanie przesyłania logów, wyłączenie ochrony, nieudane kopie czy zmiany repozytorium. Kontrolujemy także to, czy samo środowisko monitorowania nadal dostaje dane.
Od stanowiska pracownika po serwerownię i sieć
Zakres może obejmować Windows, Linux, usługi katalogowe, platformy wirtualizacji, w tym Proxmox, oraz urządzenia sieciowe i zabezpieczające. Dla Fortinet, MikroTik, Aruba, Netgear i innych producentów sprawdzamy konkretny model, wersję, licencję oraz dostępność interfejsów.
Logi i SIEM
Centralne zbieranie, porządkowanie i korelacja zdarzeń. Ustalamy znaczniki czasu, zakres źródeł, kompletność oraz zasady dostępu do danych jednostki.
XDR i ochrona urządzeń
Integracja alertów z punktów końcowych i innych warstw ochrony. Możliwość izolacji urządzenia zależy od rozwiązania oraz uprawnień uzgodnionych z JST.
Sieć i przepływy
Syslog, SNMP, API oraz NetFlow/IPFIX — zależnie od funkcji urządzenia. Dane o przepływach pomagają analizować komunikację, ale nie są tym samym co pełny zapis pakietów.
Infrastruktura i środowisko
Nadzór nad dostępnością, pojemnością, kopiami i parametrami technicznymi. Integracja czujników oraz UPS wymaga zgodnego interfejsu i sprawdzenia odbioru alarmów.
Integracje prowadzimy przez uzgodnione, zabezpieczone kanały. Nie wymagają one wystawiania paneli administracyjnych urządzeń bezpośrednio do Internetu.
Od alertu do decyzji — jasno ustalona odpowiedzialność
- Zdarzenie: system lub urządzenie przekazuje telemetrię.
- Analiza: alarm jest oceniany z uwzględnieniem kontekstu, innych zdarzeń i znaczenia usługi.
- Eskalacja: wskazana osoba otrzymuje informację o ryzyku i rekomendacji.
- Reakcja: realizowane są czynności dopuszczone umową; działania wpływające na dostępność wymagają uzgodnionych uprawnień.
- Wnioski: dokumentujemy przebieg, rezultat i zalecenia ograniczające powtórzenie zdarzenia.
W umowie rozdzielamy czas przyjęcia, analizy i eskalacji od czasu przywrócenia usługi. Dyżur SOC nie oznacza automatycznie całodobowej naprawy każdego systemu przez jego dostawcę.
Zacznij od swojej infrastruktury. Rozwijaj ochronę etapami.
1. Rozpoznanie
Liczba lokalizacji i urządzeń, aplikacje krytyczne, obecne zabezpieczenia, dostępne logi i osoby kontaktowe.
2. Pilotaż
Uzgodniony zestaw źródeł, zabezpieczona komunikacja oraz sprawdzenie jakości danych. Weryfikujemy wpływ agentów i integracji na pracujące systemy.
3. Test odbiorowy
Kontrolowane zdarzenia testowe: źródło → detekcja → obsługa → powiadomienie. Bez nieuzgodnionych prób ataku na systemy produkcyjne.
4. Stała obsługa
Ustalony zakres nadzoru, przegląd reguł i odbiorców, raportowanie oraz dodawanie kolejnych źródeł w miarę rozwoju jednostki.
Do wyceny potrzebne są przede wszystkim liczba urządzeń, źródła i wolumen logów, retencja, zakres reakcji oraz godziny obsługi. Koszt uruchomienia oddzielamy od abonamentu, licencji i zasobów archiwum.
SOC wspiera obowiązki. Jednostka zachowuje kontrolę.
Logi, historia obsługi, raporty i testy mogą wspierać zarządzanie bezpieczeństwem oraz dokumentowanie działań. Zakres odnosimy do obowiązków konkretnego podmiotu. Sam abonament SOC nie stanowi potwierdzenia pełnej zgodności z KSC, NIS2 ani KRI.
Ustalamy retencję, lokalizację danych, dostęp, eksport i warunki zakończenia współpracy. Czas szybkiego wyszukiwania w SIEM i całkowity okres zachowania logów to dwa odrębne parametry.
Poznaj wymagania cyberbezpieczeństwa JST · Zobacz zasady przechowywania logów ↓
Nie czekaj, aż pierwszym alarmem będzie telefon od mieszkańca.
Połącz nadzór nad działaniem usług z analizą zagrożeń. Porozmawiajmy o tym, co już działa w Twojej jednostce, jakich danych brakuje i jaki zakres SOC oraz NOC będzie uzasadniony.
POTRZEBA JEDNOSTKI
Kiedy warto skorzystać?
Widoczność czujnika w panelu nie potwierdza działania alarmowania. Nadzór wymaga właściwych progów, odbiorców, zależności i obsługi zdarzeń.
- Awarie są wykrywane dopiero przez użytkowników
- Alarmy są rozproszone lub nie wiadomo, kto reaguje
- Potrzebujesz wspólnego obrazu instalacji i IT
KONKRETNY REZULTAT
Zakres dopasowany do Twojego środowiska.
Co sprawdzamy i wykonujemy?
- Dostępność, zasoby, błędy i stan backupów
- Temperatura, wilgotność, wyciek i otwarcie drzwi
- UPS, agregat, zanik zasilania i klimatyzacja
- Progi, zależności, okna serwisowe i eskalacja
- Testy dostarczania powiadomień
Co otrzymuje JST?
- Lista nadzorowanych parametrów i progów
- Panel oraz uzgodnione kanały alarmowania
- Macierz odbiorców i odpowiedzialności
- Protokół zdarzenie → detekcja → alarm → powiadomienie
KROK PO KROKU
Jak przebiega współpraca?
- Inwentaryzacja pomiarów
- Konfiguracja i korelacja
- Symulacja zdarzeń
- Przekazanie i przegląd progów
CAŁY ŁAŃCUCH ALARMOWANIA
Alarm jest sprawdzony, gdy dociera do odbiorcy.
- Zdarzenie
- Detekcja
- Alarm
- Powiadomienie
- Uzgodniona reakcja
Monitoring środowiskowy
Wymagania do uzgodnienia
Temperatura, wilgotność, zalanie, drzwi, zanik energii, UPS, agregat i klimatyzacja — według instalacji. Progi, adresaci, zależności i eskalacja.
Jak weryfikujemy rezultat?
Zdarzenie → detekcja → alarm → powiadomienie. Symulacja przekroczenia progu i potwierdzenie dostarczenia do uzgodnionych odbiorców.
Kontrola dostępu i CCTV
Wymagania do uzgodnienia
Role, uprawnienia, rejestr zdarzeń, procedura nadawania i odbierania dostępu oraz integracje przewidziane w projekcie. CCTV według zakresu i zasad ochrony danych.
Jak weryfikujemy rezultat?
Test przyznanego i odmówionego dostępu, rejestracji i logów, zachowania przy awarii. Sprawdzenie funkcji nadzoru wizyjnego ustalonych w projekcie.
FAQ
Pytania przed rozpoczęciem.
Czy sam monitoring oznacza całodobowy serwis?
Nie. Godziny obsługi, kanały zgłoszeń i odpowiedzialność za reakcję wymagają osobnego ustalenia w umowie.
Jak ograniczyć niepotrzebne alarmy?
Przez zależności urządzeń, właściwe progi i planowane okna serwisowe, przy zachowaniu informacji o rzeczywistych incydentach.
POROZMAWIAJMY O POTRZEBACH JST
Porozmawiaj o LCPDPorozmawiajmy o zakresie dla Twojej jednostki.
Nie potrzebujesz gotowej specyfikacji. Zacznij od rozmowy o obecnym stanie i celu.
Logi pod kontrolą — od analizy do archiwum.
Dla dzienników systemów objętych KRI punktem wyjścia są 2 lata przechowywania od dnia zapisu, jeżeli przepisy odrębne nie wskazują innego okresu. Okres szybkiego wyszukiwania w SOC i całkowity czas zachowania zapisów to dwa osobne ustalenia.
Dwie warstwy przechowywania
- Bieżąca analiza: przykładowo 90 dni w szybkich indeksach SIEM. To wariant projektowy, a nie termin ustawowy ani automatycznie gwarantowany zakres usługi.
- Archiwum: zachowanie wymaganych zapisów do pełnych 2 lat od ich utworzenia, z uwzględnieniem przepisów odrębnych. Przeniesienie do archiwum nie rozpoczyna okresu od nowa.
Jakie zapisy obejmujemy?
KRI wymaga rejestrowania dostępu administracyjnego, dostępu do konfiguracji i zabezpieczeń oraz dostępu do danych prawnie chronionych w zakresie wymaganym prawem. Pozostałe zdarzenia dobieramy na podstawie analizy ryzyka. Ustalamy źródła, znaczniki czasu, kompletność i sposób odczytu. Same alerty SIEM lub raport PDF nie zastępują wymaganych logów źródłowych. Zasady te nie oznaczają obowiązku rejestrowania całego ruchu sieciowego ani dwuletniej retencji wszystkich nagrań CCTV.
Oddzielny serwer lub NAS w innej lokalizacji
Archiwum może znajdować się poza serwerem analitycznym, także na odpowiednio zabezpieczonym NAS, np. QNAP. Model urządzenia, funkcje systemu, pojemność i warunki utrzymania wymagają weryfikacji. Zapisy przesyłamy szyfrowanym kanałem; interfejsów administracyjnych i udziałów plikowych nie publikujemy bezpośrednio w Internecie.
- Oddzielne uprawnienia i archiwa jednostek, kontrola dostępu oraz ochrona kluczy szyfrowania.
- Kontrola kompletności, integralności i wieku ostatniego poprawnego transferu; buforowanie podczas przerw w łączności.
- Ochrona przed zmianą i usunięciem, w tym WORM lub niezmienność, jeżeli wybrane rozwiązanie je obsługuje.
- Usunięcie kopii roboczej dopiero po potwierdzeniu zapisu i weryfikacji archiwum; niezależna kopia oraz test odczytu i przywrócenia do analizy.
Retencja wpisana do zakresu usługi
Przed wdrożeniem ustalamy z jednostką kategorie danych, właściwe przepisy, okresy przechowywania, lokalizacje, pojemność, uprawnienia oraz czas udostępnienia archiwum. Dokumentujemy zasady usuwania po upływie retencji i zabezpieczenia materiału dotyczącego incydentu. Archiwizacja nie jest tym samym co kopia zapasowa; RAID nie zastępuje niezależnej kopii.
Podstawa: § 20 ust. 1–5 rozporządzenia KRI z 21 maja 2024 r., Dz.U. 2024 poz. 773. Stan prawny sprawdzono 28.09.2026. ELI wskazuje utratę mocy aktu 23.02.2027; wymagania trzeba ponownie zweryfikować przed zmianą przepisów. Okresy dla konkretnych systemów ustalamy z uwzględnieniem przepisów odrębnych.