Zakres ustalamy przed startem. Czasem wystarczy jeden obszar, żeby odpowiedzieć na Wasze pytanie.
Mierzymy, na jakim poziomie jest Wasz proces, według OWASP SAMM i NIST SSDF — tak, żeby było jasne, co konkretnie podnosi Was o poziom wyżej.
Przeglądamy architekturę pod kątem bezpieczeństwa: granice zaufania, przepływy danych, uwierzytelnianie, autoryzacja, izolacja komponentów.
Sprawdzamy, co faktycznie dzieje się w procesie budowania i wydawania: konfiguracja, sekrety, uprawnienia, zależności, łańcuch dostaw.
Mapujemy wymagania techniczne wynikające z regulacji na stan faktyczny u Was. Pokazujemy lukę i wskazujemy, co zamykamy technicznie, a co wymaga decyzji organizacyjnych lub prawnych.
Diagnostyka jednego produktu to inna praca niż piętnastu mikroserwisów w trzech zespołach. Zakres dobieramy po rozmowie — od jednego systemu po złożone środowisko wielu zespołów.
Jeden system, jeden zespół. Odpowiedź na pytanie: gdzie stoimy i od czego zacząć.
Proces, architektura, bezpieczeństwo techniczne i luka regulacyjna w jednym.
Powtarzalna ocena dojrzałości dla firm, które chcą śledzić postęp w czasie.
Lista uszeregowana według tego, ile realnie może Was kosztować każde ryzyko i ile kosztuje jego usunięcie. Bez tego priorytetyzacja jest zgadywaniem — a większość raportów kończy się właśnie tam.
Co robić najpierw, co potem, co można odłożyć. Z podziałem na to, co możecie zrobić sami, a w czym wdrożenie z nami przyspieszy efekt.
Raport, którego nikt nie przeczytał, jest bezużyteczny. Przechodzimy przez wnioski z Waszym zespołem i kierownictwem — osobno, bo mają różne pytania i różny język.
Wymóg z przepisu przełożony na konkretne ustawienie w Waszym systemie — i na dowód, który to pok…
Zobacz obszar →Skaner znajduje tysiąc rzeczy. Ustawiamy proces, który mówi, którymi dwudziestoma trzeba zająć s…
Zobacz obszar →Bezpieczeństwo wbudowane w sposób, w jaki Wasz zespół pisze i wydaje oprogramowanie — nie doklej…
Zobacz obszar →Pentest to zdjęcie stanu z konkretnego dnia — mówi, co było podatne w momencie testu. Diagnostyka pyta, dlaczego ta podatność w ogóle powstała i czy jutro nie powstanie kolejna taka sama. To dwie różne rzeczy i nawzajem się nie zastępują.
Do oceny procesu i architektury zwykle wystarczy dokumentacja i rozmowa z zespołem. Do przeglądu technicznego potrzebujemy dostępu do konfiguracji procesu budowania i ustawień organizacji. Zakres ustalamy pisemnie przed startem i stosujemy zasadę minimalnych uprawnień również wobec siebie.
Realnie od kilku do kilkunastu godzin łącznie — głównie wywiady i pytania uzupełniające. Zespół pracuje normalnie, a diagnostyka toczy się obok jego pracy.
To jest dobra wiadomość, choć nie brzmi jak dobra. Lepiej dowiedzieć się od nas niż od audytora klienta albo z incydentu. Raport zawsze kończy się planem: kolejnością działań i tym, co da największy efekt najszybciej.
Od kilku dni roboczych przy diagnostyce punktowej do dwóch–czterech tygodni przy pełnej. Granicę ustalamy przed startem, więc nic nie ciągnie się bez końca.
Raport jest Wasz i możecie wdrożyć go sami. Jeśli wdrażacie z nami, startujemy od razu od planu z diagnostyki, a jej koszt uwzględniamy w wycenie wdrożenia.