1. Zapisz godzinę połączenia i rolę zgłaszającego.
2. Poproś o numer, pod którym możesz oddzwonić.
3. Zadaj sześć pytań i zapisuj odpowiedzi jego słowami.
4. Powiedz: „Niczego nie klikaj i niczego nie usuwaj. Zaraz oddzwonię.”
5. Wpisz zgłoszenie do rejestru z godziną.

Uwaga: Nie każ zgłaszającemu „sprawdzić, czy działa”. Każda czynność zaciera ślady.

1. Poproś, żeby zgłaszający usiadł i opowiedział po kolei.
2. Zadaj sześć pytań i zapisz odpowiedzi w jego obecności.
3. Poproś, żeby nie dotykał komputera, i oznacz go kartką „nie włączać”.
4. Wpisz zgłoszenie do rejestru z godziną.

Uwaga: Nie szukaj winnego. Człowiek, który boi się kary, następnym razem nie zgłosi.

1. Zapisz godzinę wpływu wiadomości, a nie godzinę jej przeczytania.
2. Potwierdź przyjęcie telefonem, nie e-mailem.
3. Sześć pytań zadaj telefonicznie, zwłaszcza gdy sprawa dotyczy danych osobowych.
4. Zachowaj wiadomość jako dowód i wpisz zgłoszenie do rejestru.

Uwaga: Nie odpisuj na adres, który wygląda podejrzanie. Zadzwoń na numer ze spisu jednostki.

1. Zarejestruj pismo w kancelarii z datą wpływu.
2. Odbierz je tego samego dnia i zapisz godzinę odbioru.
3. Terminy z pisma wpisz do kalendarza i poinformuj kierownika.

Uwaga: Pismo od policji albo CSIRT o incydencie traktujesz jak zgłoszenie i przekazujesz kierownikowi tego samego dnia.

1. Poproś o pismo albo e-mail z opisem: co się stało i kiedy.
2. Zapisz godzinę, o której dostawca się dowiedział, i godzinę, o której dowiedziałeś się ty.
3. Zapytaj, czy dane jednostki mogły zostać ujawnione.
4. Wpisz zgłoszenie do rejestru i poinformuj kierownika oraz IOD.

Uwaga: Termin jednostki biegnie od chwili, gdy jednostka się dowie, a nie od dnia awarii u dostawcy.

Pracownik: Nie mogę otworzyć żadnego dokumentu. Na ekranie jest napis, że pliki zostały zaszyfrowane.
Ty: Dziękuję, że dzwonisz. Zapisuję godzinę: 22:04. Niczego nie klikaj i nie wyłączaj komputera. Który to komputer i co robiłeś przed chwilą?
Pracownik: To komputer w księgowości. Otworzyłem załącznik od dostawcy.
Ty: Wpisuję zgłoszenie do rejestru i dzwonię do administratora i kierownika. Zostań przy telefonie.

1. Nie podawaj haseł, kodów ani nazwy systemu. Powiedz: „Oddzwonię”.
2. Zapisz godzinę, numer i to, o co prosił rozmówca.
3. Znajdź numer CSIRT w właściwy zespół CSIRT wskazany w procedurze zgłaszania incydentów, nie w wiadomości od rozmówcy.
4. Oddzwoń i zapytaj, czy taka rozmowa miała miejsce.
5. Zgłoś próbę kierownikowi i ASI.

Uwaga: Numer podany przez rozmówcę może należeć do oszusta.

1. Nie klikaj linków i nie otwieraj załączników.
2. Nie odpowiadaj na wiadomość.
3. Przepisz adres nadawcy do rejestru.
4. Zadzwoń na numer z właściwy zespół CSIRT wskazany w procedurze zgłaszania incydentów i zapytaj, czy wysłali tę wiadomość.

Uwaga: Adres nadawcy łatwo podrobić. Liczy się numer, który znasz.

1. Poproś o dokument ze zdjęciem i pismo od kierownika albo organu.
2. Nie wpuszczaj osoby do serwerowni i nie dawaj jej hasła.
3. Wezwij kierownika i zapisz dane osoby.

Uwaga: Osoba z prawdziwym zadaniem poczeka na kierownika.

Rozmówca: Dzwonię z CSIRT. Wasza jednostka jest atakowana. Muszę się natychmiast połączyć z serwerem, proszę zainstalować program, który podam.
Ty: Dziękuję. Niczego nie instaluję przez telefon. Podaj imię i numer, oddzwonię na numer CSIRT, który mamy zapisany.
Rozmówca: Nie ma czasu, każda minuta to strata danych!
Ty: Rozumiem. Mimo to oddzwonię. Zgłoszę też tę rozmowę kierownikowi.