Praktyczne teksty o secure SDLC, CI/CD, łańcuchu dostaw i regulacjach — CRA, DORA, NIS2 i UKSC. Teksty o regulacjach wskazują przepisy, na których się opierają.
Podział obowiązków między podmiotami gospodarczymi w CRA i kiedy importer lub dystrybutor staje się producentem w rozumieniu rozporządzenia.
Co CRA mówi o SBOM: minimum zależności najwyższego poziomu, format maszynowy, CycloneDX i SPDX oraz kto może żądać zestawienia.
Od czego liczy się zegar w art. 14 CRA, kto odbiera zgłoszenie i co musi zawierać każdy z trzech etapów raportowania.
Czym CRA różni się od NIS2 i znowelizowanej ustawy o KSC, kto w Polsce odbiera zgłoszenia i dlaczego terminy się nie pokrywają.
Modelowanie zagrożeń wykrywa problemy bezpieczeństwa najtaniej — na etapie projektu, nie po pentescie. Czym jest STRIDE i jak wpiąć je w proces.
Nowelizacja UKSC obowiązuje od 3 kwietnia 2026. Co art. 8 oznacza dla pipeline CI/CD, jakie dowody trzeba produkować i jakie terminy zostały.
Polityka bezpieczeństwa w Wordzie nie blokuje niezgodnego deploymentu. Policy-as-Code z OPA zamienia deklaracje w automatyczne egzekwowanie.
Zero Trust to nie produkt do kupienia — to architektura. 3 zasady, praktyczne wdrożenie w pipeline CI/CD i model dojrzałości organizacji.
DevSecOps spowalnia zespół? Problem nie w idei, a we wdrożeniu. 3 dysfunkcje które zabijają produktywność i jak je naprawić bez kompromisów.
Ankieta VRA blokuje kontrakt Enterprise. Co analitycy sprawdzają, czego szukają w odpowiedziach i dlaczego brak dokumentacji jest gorszy niż luka.
Statyczne tokeny w pipeline to tykająca bomba. Jeden wyciek = nieograniczony dostęp. Jak OIDC usuwa ten problem z pipeline'u w AWS, Azure i GCP.
IBM: średni koszt naruszenia to $4.88M. Ale prawdziwy koszt dla firmy sprzedającej do Enterprise to utracone kontrakty. Analiza składników kosztu.
10 najczęstszych błędów bezpieczeństwa GitHub Actions. GITHUB_TOKEN z write, brak pinningu SHA, sekrety w logach — i jak naprawić.
Evidence Pack to automatyczne dowody bezpieczeństwa z pipeline: SBOM, provenance, podpisy, logi. Dlaczego audytor go chce i jak go wygenerować.
SBOM staje się wymogiem rynkowym — NIS2, DORA i klienci Enterprise żądają listy składników. Jak generować automatycznie w pipeline CI/CD.
SOC 2 Type II wymaga 6 miesięcy dowodów. Audytor weryfikuje pipeline CI/CD — logi, dostępy, rotację sekretów. Co musisz mieć gotowe.
Sekrety w pipeline wyciekają nie przez ataki, ale przez błędy konfiguracji. 3 mechanizmy wycieku i dlaczego klasyczne narzędzia ich nie łapią.
Klient Enterprise wysyła 150 pytań o bezpieczeństwo. Co sprawdza analityk, jakie odpowiedzi są red flagą i jak przygotować dokumentację.
Między buildem a produkcją artefakt może zostać podmieniony. Cosign i Sigstore dają kryptograficzny dowód, że deploy jest tym co zbudował pipeline.
NIS2 wymaga audytu dostawców oprogramowania. Jeśli dostarczasz software do firm objętych dyrektywą — musisz udowodnić bezpieczeństwo łańcucha dostaw.
DORA obowiązuje od stycznia 2025. Artykuły 9 i 10 wymagają bezpieczeństwa systemów ICT. Co to oznacza dla pipeline CI/CD i jak się przygotować.
Pipeline CI/CD ma klucze do produkcji — ale jest zabezpieczony jak narzędzie deweloperskie. Czym jest hardening i dlaczego firmy go ignorują.