przewiń tabelę w bok
| Obszar i przepis | Co to znaczy dla SDLC | Jak pomagamy | Standardy |
|---|---|---|---|
| Projektowanie oparte na ryzyku zał. I cz. I pkt 1–2, art. 13 ust. 2–3 |
Bez oceny ryzyka na etapie projektu nie wiesz, które wymagania i jak mocno dotyczą Twojego produktu. | Modelowanie zagrożeń: szkolenie PMZ, Threat Modeling Transformation, Threat Modeling Session dla Twojego produktu (Doradztwo). | STRIDE · LINDDUN |
| Produkt bez znanych podatności, które da się wykorzystać zał. I cz. I pkt 2 lit. a, b, j |
Testy przed każdym wydaniem. Bezpieczne ustawienia domyślne i ograniczoną powierzchnię ataku ustalasz już przy projektowaniu. | SAST, DAST i SCA w pipeline: szkolenie ABCD, DevSecOps Transformation, wdrożenie praktyki (Doradztwo). Ocena architektury (Weryfikacja). | OWASP ASVS · NIST SSDF |
| SBOM i komponenty zał. I cz. II pkt 1 |
SBOM w formacie do odczytu maszynowego, obejmujący co najmniej zależności najwyższego poziomu. Bez niego nie wiesz, czy nowa podatność w bibliotece dotyczy Twojego produktu. | SCA i SBOM w pipeline: szkolenie ABCD, wdrożenie praktyki (Doradztwo). Sesja ekspercka „Bezpieczeństwo łańcucha dostaw". | CycloneDX · SPDX · SLSA |
| Obsługa podatności i aktualizacje zał. I cz. II pkt 2, 7, 8 |
Podatności usuwasz bez zwłoki. Poprawki wydajesz bezpłatnie i bezpiecznym kanałem, a gdy to technicznie wykonalne, osobno od nowych funkcji. | Zarządzanie podatnościami: szkolenie ABCD, wdrożenie praktyki (Doradztwo). | OWASP DSOMM · NIST SSDF |
| Testy i przeglądy zał. I cz. II pkt 3 |
Regularne testy i przeglądy bezpieczeństwa jako stały element cyklu, a nie jednorazowy pentest przed premierą. | Basic Security Test i Standard Security Test, ten drugi wspólnie z Red Team (Weryfikacja). Zespół QA, który sam testuje bezpieczeństwo: OTWA, QA Security Testing Transformation. | OWASP ASVS · WSTG |
| Ujawnianie i zgłaszanie zał. I cz. II pkt 4–6, art. 14 |
Polityka skoordynowanego ujawniania podatności, adres do zgłoszeń i informacje o naprawionych podatnościach. Od 11.09.2026 wczesne ostrzeżenie o aktywnie wykorzystywanej podatności wysyłasz w ciągu 24 godzin od chwili, gdy się o niej dowiesz. | Przygotowanie techniczne i procesowe: Compliance readiness (Doradztwo). | ISO/IEC 29147 · ISO/IEC 30111 |
Czego nie obiecujemy
- Certyfikatu ani formalnej oceny zgodności. Procedurę z CRA przeprowadzasz Ty albo, gdy CRA tego wymaga, jednostka notyfikowana.
- Całego CRA. Nie zajmujemy się oznakowaniem CE, deklaracją zgodności UE ani kontaktami z organami nadzoru rynku.
- Wykładni prawnej. Należy do Twojego działu compliance albo kancelarii.
Specjalizujemy się w jednym obszarze: bezpieczeństwie procesu wytwórczego. Gapy, które wskaże nasza Ocena zgodności (Weryfikacja), domykamy w ramach Compliance readiness (Doradztwo).