Postmortemy i analiza przyczyny źródłowej

Po co spisywać postmortem

Po naprawieniu podatności warto odpowiedzieć na pytanie: dlaczego do tego doszło i co zmieniliśmy, żeby ograniczyć ryzyko powtórzenia? Postmortem pozwala zapisać tę odpowiedź i zachować ją w dokumentacji.

Do każdego zgłoszenia możesz dodać jeden postmortem: wewnętrzną analizę przyczyny źródłowej.

Co się w nim znajduje

Postmortem łączy ustrukturyzowane pola z trzema opisowymi sekcjami w formie swobodnego tekstu:

Pole	Co opisuje
Podsumowanie	Jednozdaniowy opis incydentu
Poziom ważności	Poziom ważności incydentu
Kategoria	Klasa przyczyny źródłowej (np. konfiguracja, błąd w kodzie, luka w procesie)
Wystąpienie / Wykrycie / Rozwiązanie	Znaczniki czasu wskazujące, kiedy problem się zaczął, kiedy został wykryty i kiedy go naprawiono
Czas do naprawy	Wyliczany automatycznie ze znaczników wystąpienia i rozwiązania
Przyczyna źródłowa	Co doprowadziło do problemu, poza jego widocznymi objawami
Działania naprawcze	Co zmieniłeś (lub zmienisz), żeby zapobiec ponownemu wystąpieniu
Wyciągnięte wnioski	Wnioski zespołu dotyczące procesu, narzędzi i odpowiedzialności

Możesz też dołączyć pliki dowodowe: zrzuty ekranu, logi, linki do commita lub zgłoszenia z poprawką.

Kiedy otwierasz nowy postmortem, Kit wypełnia go wstępnie na podstawie zgłoszenia: poziom ważności, oś czasu rozwiązania i wstępne podsumowanie są już wpisane. Sprawdź je i uzupełnij pozostałe pola.

Kto może go tworzyć

Każdy członek twojego zespołu CSIRT może utworzyć lub edytować postmortem zgłoszenia. Nie wymaga to uprawnień administratora. Funkcja działa wszędzie tam, gdzie dostępne jest zarządzanie zgłoszeniami CSIRT, więc może z niej korzystać każdy aktywny program z dostępem do zgłoszeń.

Zakładka Postmortem

Otwórz zgłoszenie i wybierz zakładkę Postmortem. Jeśli analiza jeszcze nie istnieje, zobaczysz przycisk jej utworzenia. Tworzenie i edycja odbywają się w osobnych formularzach na pełną szerokość strony.

Dziennik audytu

Każdy zapis tworzy niezmienną wersję z danymi autora, która wskazuje, kto co zmienił i kiedy. Wersje nigdy nie są nadpisywane ani usuwane, więc zachowujesz pełną historię zmian postmortemu. Każda wersja pojawia się też w osi czasu zgłoszenia obok zmian statusu i ocen, tworząc jeden chronologiczny zapis całego incydentu.

Raport PDF

Z zakładki Postmortem możesz pobrać raport PDF dla pojedynczego zgłoszenia z pełnym zgłoszeniem wraz z jego postmortemem. Dokument pokazuje stan na moment pobrania. Dodaj go do folderu audytowego, dołącz do zgłoszenia w systemie albo przekaż audytorowi jako kompletny zapis pojedynczego incydentu.

Dokumentacja do audytu

Analiza przyczyny źródłowej może służyć jako dokumentacja do audytu:

• SOC 2: może posłużyć w Vanta jako dokument do testu „Incident report or root cause analysis”. Zobacz Integrację z Vanta.
• ISO 22301:2019: wspiera wymagania dotyczące ciągłości działania z §10.1.1, §10.1.2 i §10.1.3 (niezgodność, działania naprawcze i ciągłe doskonalenie).

Zarządzaj nim z pomocą AI

Dwa narzędzia MCP pozwalają asystentowi AI odczytywać i aktualizować postmortemy:

• csirt_get_postmortem: odczytuje postmortem zgłoszenia, w tym trzy sekcje opisowe, time_to_fix_seconds oraz revisions_count.
• csirt_set_postmortem: tworzy lub aktualizuje postmortem (upsert). Zmieniane są tylko przekazane pola; reszta pozostaje nietknięta.

Pełne parametry i uprawnienia znajdziesz w Dokumentacji narzędzi MCP.

Co dalej

• Triaż zgłoszeń: rozwiąż zgłoszenie, a następnie napisz jego postmortem
• Wskaźniki i eksporty: zbiorcze pakiety dowodów SOC 2 oprócz raportów dla pojedynczych zgłoszeń
• Integracja z Vanta: przekazuj dane o podatnościach po triażu do Vanta