Zakres ustalamy przed startem. Czasem wystarczy jeden obszar, żeby odpowiedzieć na Wasze pytanie.
Mierzymy, na jakim poziomie jest Wasz proces, według OWASP SAMM i NIST SSDF. Nie po to, żeby wystawić ocenę — po to, żeby wiedzieć, co konkretnie podnosi Was o poziom wyżej.
Przeglądamy architekturę pod kątem bezpieczeństwa: granice zaufania, przepływy danych, uwierzytelnianie, autoryzacja, izolacja komponentów.
Sprawdzamy, co faktycznie dzieje się w procesie budowania i wydawania: konfiguracja, sekrety, uprawnienia, zależności, łańcuch dostaw.
Mapujemy wymagania techniczne wynikające z regulacji na stan faktyczny u Was. Pokazujemy lukę i mówimy wprost, gdzie kończy się nasza rola.
Diagnostyka jednego produktu to inna praca niż piętnastu mikroserwisów w trzech zespołach. Zakres dobieramy po rozmowie — od jednego systemu po złożone środowisko wielu zespołów.
Jeden system, jeden zespół. Odpowiedź na pytanie: gdzie stoimy i od czego zacząć.
Proces, architektura, bezpieczeństwo techniczne i luka regulacyjna w jednym.
Powtarzalna ocena dojrzałości dla firm, które chcą śledzić postęp w czasie.
Lista uszeregowana według tego, ile realnie może Was kosztować każde ryzyko i ile kosztuje jego usunięcie. Bez tego priorytetyzacja jest zgadywaniem — a większość raportów kończy się właśnie tam.
Co robić najpierw, co potem, co można odłożyć. Z podziałem na to, co możecie zrobić sami, a co wymaga naszej pomocy. Czasem wychodzi, że nie potrzebujecie nas wcale.
Raport, którego nikt nie przeczytał, jest bezużyteczny. Przechodzimy przez wnioski z Waszym zespołem i kierownictwem — osobno, bo mają różne pytania i różny język.
Wymóg z przepisu przełożony na konkretne ustawienie w Waszym systemie — i na dowód, który to pok…
Zobacz obszar →Skaner znajduje tysiąc rzeczy. Ustawiamy proces, który mówi, którymi dwudziestoma trzeba zająć s…
Zobacz obszar →Bezpieczeństwo wbudowane w sposób, w jaki Wasz zespół pisze i wydaje oprogramowanie — nie doklej…
Zobacz obszar →Pentest to zdjęcie stanu z konkretnego dnia — mówi, co było podatne w momencie testu. Diagnostyka pyta, dlaczego ta podatność w ogóle powstała i czy jutro nie powstanie kolejna taka sama. To dwie różne rzeczy i nawzajem się nie zastępują.
Do oceny procesu i architektury zwykle wystarczy dokumentacja i rozmowa z zespołem. Do przeglądu technicznego potrzebujemy dostępu do konfiguracji procesu budowania i ustawień organizacji. Zakres ustalamy pisemnie przed startem i stosujemy zasadę minimalnych uprawnień również wobec siebie.
Realnie od kilku do kilkunastu godzin łącznie — głównie wywiady i pytania uzupełniające. Nie odrywamy zespołu od pracy na tygodnie. To, że diagnostyka nie może paraliżować firmy, jest dla nas warunkiem, nie deklaracją.
To jest dobra wiadomość, choć nie brzmi jak dobra. Lepiej dowiedzieć się od nas niż od audytora klienta albo z incydentu. Raport zawsze kończy się planem — nie zostawiamy Was z listą problemów bez pomysłu, co z nimi zrobić.
Od kilku dni roboczych przy diagnostyce punktowej do dwóch–czterech tygodni przy pełnej. Granicę ustalamy przed startem, więc nic nie ciągnie się bez końca.
Nie. Raport jest Wasz i możecie go wdrożyć sami albo z kimkolwiek innym. Jeśli macie kompetencje i czas — tak będzie taniej i tak Wam doradzimy.