Projektujemy, jak bezpieczeństwo ma być wpięte w Wasz sposób pracy — i wdrażamy to, a nie tylko opisujemy.
Wdrażamy modelowanie zagrożeń jako stały element projektowania funkcji — nie jako jednorazowy warsztat, który umiera po kwartale.
Wpinamy analizę kodu, zależności i konfiguracji tam, gdzie zmiany faktycznie powstają — żeby problem wychodził przy pisaniu, nie przy wydaniu. Progi dostrajamy tak, żeby sygnał był użyteczny, a nie żeby zaliczyć checklistę.
Dajemy Wam sposób, żeby udowodnić, co dokładnie znalazło się w wydanym produkcie i skąd pochodzi — wtedy, gdy pyta o to klient albo audytor.
Budujemy warstwę, na której pracują Wasze zespoły: wzorce wdrożeniowe, szablony i domyślne ustawienia, które są bezpieczne od pierwszego użycia. Deweloper nie musi pamiętać o konfiguracji — dostaje ją gotową.
Kiedy zespół ma już kompetencje i potrzebuje kierunku, a nie wykonawcy — pracujemy jako wsparcie decyzyjne. Przeglądy architektury, wybór narzędzi, rozstrzyganie sporów technicznych, przygotowanie do audytu.
Wdrożenie w zespole, który ma już uporządkowany proces, to inna praca niż w firmie, gdzie wszystko trzeba zbudować od zera. Dlatego zaczynamy od diagnostyki — bez niej zakres byłby zgadywaniem.
Jeden obszar, jeden zespół. Na przykład: automatyzacja kontroli w procesie budowania.
Pełne wdrożenie: proces, modelowanie zagrożeń, automatyzacja, dowody.
Dla firm, które chcą rozwijać proces w czasie, a nie zamknąć go jednym projektem.
Rozliczamy etapami. Za kolejny płacicie dopiero wtedy, gdy poprzedni coś realnie zmienił — nie sprzedajemy rocznych umów w ciemno i nie wiążemy nikogo abonamentem, z którego trudno wyjść. Jeśli poprzedziliście wdrożenie diagnostyką u nas, jej koszt uwzględniamy w wycenie.
Zmiany są w Waszym systemie, uruchomione i przetestowane na realnej pracy zespołu. Wersjonowane i odwracalne — jeśli coś nie działa, cofa się jedną komendą.
Po wdrożeniu przekazujemy mechanizm z dokumentacją i szkoleniem — i macie wybór. Możecie prowadzić go sami albo zostawić go pod naszą opieką: aktualizacje narzędzi, reakcja na nowe podatności, dostrajanie progów, wsparcie przy audytach i ankietach od klientów. Rozliczamy to miesięcznie, bez umowy na rok w ciemno.
To, czego żąda audytor albo klient enterprise, generuje się przy okazji normalnej pracy. Zamiast zbierać dowody wstecz przed audytem, po prostu je pokazujecie.
Proces budowania i wdrażania ma dostęp do wszystkiego. Zabezpieczamy go tak, żeby przestał być n…
Zobacz obszar →Klaster uruchomiony w domyślnej konfiguracji działa poprawnie i jest otwarty. Zamykamy go, nie p…
Zobacz obszar →Konfiguracja chmury i uprawnienia opisane kodem — sprawdzane, zanim powstaną, nie po incydencie.…
Zobacz obszar →Tak, w zakresie uzgodnionym pisemnie przed startem. Zwykle wystarczy dostęp do konfiguracji procesu budowania i ustawień organizacji — nie do całego kodu. Stosujemy zasadę minimalnych uprawnień również wobec siebie.
Tak, ale nie na pełen etat. Potrzebujemy kontaktu z osobą, która zna system, i przeglądu naszych zmian przez zespół — to standard, nie dodatkowe obciążenie. Nie pracujemy obok Waszego zespołu, tylko z nim.
To jest właściwe pytanie i traktujemy je poważnie. Kontrola, która wydłuża budowanie o kwadrans albo sypie fałszywymi alarmami, zostanie wyłączona w ciągu tygodnia — i słusznie. Dlatego mierzymy wpływ na czas budowania i strojmy progi tak długo, aż sygnał będzie użyteczny.
Nie musicie. Pracujemy na standardach i narzędziach, które Wasz zespół zna albo szybko pozna — nie na autorskiej metodyce, którą rozumiemy wyłącznie my. Po wdrożeniu potraficie prowadzić to sami; jeśli nie potraficie, źle wykonaliśmy pracę.
Co innego, gdy sami chcecie to oddać. Wtedy zostajemy na stałej opiece: aktualizacje, nowe podatności, dostrajanie progów, wsparcie przy audytach. To wybór, nie warunek — i da się z tego wyjść z miesiąca na miesiąc.
Można, jeśli macie świeży raport z audytu albo dokładnie wiecie, czego chcecie. Ale wtedy wycena opiera się na Waszych założeniach, nie na naszym pomiarze — i ryzyko, że zakres okaże się inny, leży po obu stronach. Zwykle taniej wychodzi zacząć od diagnozy.
Powiemy Wam to od razu i zaproponujemy zmianę zakresu. Dokończenie wdrożenia, o którym wiemy, że nie rozwiąże Waszego problemu, byłoby marnowaniem Waszych pieniędzy i naszej reputacji.