Cyberbezpieczeństwo

Instytut Ogrodnictwa – Państwowy Instytut Badawczy jest podmiotem kluczowym w rozumieniu ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa. Zgodnie z art. 9 ust. 1 pkt 2 i 3 tej ustawy udostępniamy na tej stronie informacje, które pomagają rozpoznać zagrożenia związane z korzystaniem z usług i serwisów internetowych Instytutu oraz skutecznie się przed nimi chronić. Wskazujemy także, jak zgłosić nam cyberzagrożenie, incydent lub podatność.

Zgłoś cyberzagrożenie, incydent lub podatność

E-mail: cyberbezpieczenstwo@inhort.pl
Telefon: 46 833 22 11 do 13, wew. 733 (w godzinach pracy Instytutu)
Adres: Instytut Ogrodnictwa – PIB, ul. Konstytucji 3 Maja 1/3, 96-100 Skierniewice

Prosimy o kontakt, jeżeli otrzymali Państwo podejrzaną wiadomość podpisaną nazwą Instytutu lub nazwiskiem naszego pracownika, zauważyli nieprawidłowe działanie któregoś z naszych serwisów albo podejrzewają, że w związku z kontaktem z Instytutem Państwa dane trafiły w niepowołane ręce. Nie trzeba mieć pewności, że doszło do incydentu. Każde zgłoszenie analizujemy.

W zgłoszeniu warto podać:

1. czego dotyczy sprawa (adres e-mail nadawcy, adres strony, numer telefonu, nazwa serwisu),
2. datę i godzinę zdarzenia,
3. krótki opis tego, co się stało, a jeśli to możliwe, zrzut ekranu.

Podejrzaną wiadomość e-mail najlepiej przesłać jako załącznik (opcja „Prześlij jako załącznik”), ponieważ zachowuje ona wtedy informacje techniczne potrzebne do analizy. Prosimy nie otwierać załączników ani linków z takiej wiadomości.
Incydent można również zgłosić bezpośrednio do CERT Polska (CSIRT NASK) przez formularz https://incydent.cert.pl. Podejrzane wiadomości SMS można bezpłatnie przekazać na numer 8080. 

Jak kontaktuje się z Państwem Instytut

Większość oszustw polega na podszyciu się pod znaną instytucję. Kilka zasad pozwala je rozpoznać:

1. Pracownicy Instytutu korzystają w sprawach służbowych z adresów poczty elektronicznej w domenie inhort.pl. Wiadomość podpisana nazwiskiem pracownika, a wysłana z innej domeny lub z prywatnej skrzynki, wymaga weryfikacji.
2. Nie prosimy o podawanie haseł, kodów z wiadomości SMS ani danych kart płatniczych, ani pocztą elektroniczną, ani telefonicznie.
3. Nie zmieniamy numeru rachunku bankowego Instytutu w drodze zwykłej wiadomości e-mail. Jeżeli otrzymają Państwo informację o zmianie rachunku albo pilną prośbę o płatność, prosimy potwierdzić ją telefonicznie pod numerem podanym na tej stronie, a nie w treści wiadomości.
4. W postępowaniach o udzielenie zamówienia publicznego komunikujemy się z wykonawcami wyłącznie w sposób określony w dokumentach zamówienia. Prośbę o przesłanie oferty, wadium lub dokumentów innym kanałem należy traktować jako próbę oszustwa i zgłosić.
5. W razie wątpliwości co do autentyczności dokumentu otrzymanego od Instytutu, np. faktury, wezwania do zapłaty, umowy lub sprawozdania z badań, prosimy o kontakt z komórką, która go wystawiła.
6. Serwisy internetowe Instytutu działają w domenie inhort.pl. Przed zalogowaniem się lub podaniem danych warto sprawdzić adres w pasku przeglądarki.

Najczęstsze zagrożenia

Phishing – wiadomości e-mail, SMS lub komunikaty w mediach społecznościowych, które podszywają się pod zaufaną instytucję i nakłaniają do kliknięcia w link, podania danych logowania albo otwarcia załącznika. Zwykle wywołują presję czasu: „konto zostanie zablokowane”, „faktura jest przeterminowana”.

Podszywanie się pod nadawcę (spoofing) – adres nadawcy można sfałszować tak, aby wyglądał na adres Instytutu albo nawet na Państwa własny. Sam adres nadawcy nie przesądza o autentyczności wiadomości.

Oszustwa „na fakturę” i „na zmianę rachunku” – przestępcy przejmują lub naśladują korespondencję z kontrahentem i w odpowiednim momencie podsyłają „nowy” numer rachunku. Płatność zostaje wykonana w dobrej wierze na konto przestępcy.

Złośliwe oprogramowanie, w tym ransomware – najczęściej trafia do komputera przez załącznik (dokument z makrami, archiwum ZIP, plik udający fakturę) lub przez stronę, do której prowadzi link. Ransomware szyfruje dane i służy do wymuszenia okupu.

Przejęcie konta – dochodzi do niego najczęściej, gdy to samo hasło jest używane w wielu serwisach i wycieknie z jednego z nich, albo gdy hasło zostanie wpisane na fałszywej stronie logowania.

Oszustwa telefoniczne i fałszywe kody QR – rozmówca podaje się za pracownika banku, urzędu, policji lub działu informatyki i prosi o zainstalowanie programu do zdalnego pulpitu albo o podanie kodu. Kody QR w wiadomościach lub na naklejkach mogą prowadzić do fałszywych stron.

Jak się chronić

1. Używać długich, unikalnych haseł (najlepiej fraz) i menedżera haseł.
2. Włączyć uwierzytelnianie dwuskładnikowe wszędzie, gdzie jest dostępne, w szczególności w poczcie elektronicznej i bankowości.
3. Aktualizować system operacyjny, przeglądarkę i aplikacje oraz korzystać z programu antywirusowego.
4. Nie otwierać załączników i linków z nieoczekiwanych wiadomości, a nadawcę weryfikować innym kanałem niż ten, którym przyszła wiadomość.
5. Nie włączać makr w dokumentach otrzymanych pocztą elektroniczną.
6. Regularnie wykonywać kopie zapasowe ważnych danych i przechowywać co najmniej jedną kopię poza komputerem.
7. Nie instalować oprogramowania do zdalnego dostępu na prośbę osoby, której tożsamości nie można potwierdzić.
8. Nie logować się przez linki z wiadomości; adres serwisu wpisywać samodzielnie.

Komunikaty o poważnych cyberzagrożeniach i incydentach

W tym miejscu Instytut publikuje informacje o poważnych cyberzagrożeniach oraz o incydentach, które mogą wpływać na świadczone przez nas usługi, wraz z zaleceniami dotyczącymi działań, jakie mogą Państwo podjąć (art. 11 ust. 2a i 2b ustawy o krajowym systemie cyberbezpieczeństwa).

Aktualnie brak komunikatów.

Zgłaszanie podatności w serwisach Instytutu

Jeżeli zauważyli Państwo lukę w zabezpieczeniach któregoś z naszych serwisów lub systemów, prosimy o przesłanie informacji na adres cyberbezpieczenstwo@inhort.pl. Zgłoszenie powinno zawierać adres lub nazwę systemu, opis podatności i kroki pozwalające ją odtworzyć. Potwierdzimy otrzymanie zgłoszenia i poinformujemy o sposobie jego rozpatrzenia.

Do czasu usunięcia podatności prosimy jej nie ujawniać publicznie, nie pobierać ani nie modyfikować danych i nie wykonywać działań mogących zakłócić działanie serwisów. Podatność można również zgłosić do CERT Polska, który koordynuje proces ujawniania podatności w Polsce.

Przydatne źródła wiedzy

1. CERT Polska (CSIRT NASK), ostrzeżenia i poradniki: https://cert.pl
2. Formularz zgłoszenia incydentu: https://incydent.cert.pl
3. Lista ostrzeżeń przed niebezpiecznymi stronami: https://cert.pl/lista-ostrzezen/
4. Baza wiedzy o cyberbezpieczeństwie: https://www.gov.pl/web/baza-wiedzy
5. Ministerstwo Cyfryzacji, organ właściwy do spraw cyberbezpieczeństwa dla Instytutu: https://www.gov.pl/web/cyfryzacja
6. CSIRT GOV: https://csirt.gov.pl
7. CSIRT MON: https://csirt-mon.wp.mil.pl

Ochrona danych osobowych

Dane osobowe przekazane w zgłoszeniu przetwarzamy wyłącznie w celu jego obsługi i wyjaśnienia zdarzenia, na podstawie art. 6 ust. 1 lit. c RODO w związku z art. 9 ust. 1 pkt 3 ustawy o krajowym systemie cyberbezpieczeństwa. Szczegółowe informacje o przetwarzaniu danych osobowych przez Instytut, w tym dane kontaktowe inspektora ochrony danych, znajdują się w zakładce dotyczącej ochrony danych osobowych.