przewiń tabelę w bok
| Obszar i przepis | Co to znaczy dla SDLC | Jak pomagamy | Standardy |
|---|---|---|---|
| Identyfikacja ryzyka DORA art. 8 ust. 2–3 |
Zagrożenia zidentyfikowane na etapie projektowania, zanim powstanie kod, i ocena ryzyka przy każdej istotnej zmianie systemu. | Modelowanie zagrożeń: szkolenie PMZ, Threat Modeling Transformation, Threat Modeling Session dla Twojego systemu (Doradztwo). | STRIDE · TRIM · DREAD · LINDDUN |
| Bezpieczne wytwarzanie RTS art. 16 ust. 1 |
Spisana polityka: praktyki bezpieczeństwa w cyklu wytwórczym i wymagania bezpieczeństwa zatwierdzone przez stronę biznesową i właściciela systemu. | Audyt dojrzałości SDLC jako punkt wyjścia, potem wdrożenie Secure SDLC etapami (Doradztwo). | OWASP SAMM · DSOMM · NIST SSDF |
| Przegląd kodu i testy RTS art. 16 ust. 3–4 |
Przegląd kodu z analizą statyczną i dynamiczną, testy bezpieczeństwa pakietów oprogramowania (najpóźniej przy integracji) i systemów dostępnych z internetu. Znalezione podatności trafiają do planu naprawczego. | SAST, DAST i SCA w pipeline: szkolenie ABCD, DevSecOps Transformation, wdrożenie praktyki (Doradztwo). | OWASP ASVS · NIST SSDF |
| Zarządzanie zmianami DORA art. 9 ust. 4 lit. e · RTS art. 17 |
Każda zmiana jest przetestowana, oceniona, zatwierdzona i zweryfikowana pod kątem wymagań bezpieczeństwa. Automatyczna bramka w pipeline robi to powtarzalnie, a ręczna checklista nie. | Szkolenie ABCD uczy zespoły wpinać kontrole w CI/CD. Samo wpięcie i zasady obsługi: wdrożenie praktyki (Doradztwo). | DSOMM · NIST SSDF |
| Program testów DORA art. 24–25 |
Testy dobrane do krytyczności systemu: skany podatności, analizy open source, przeglądy kodu, testy penetracyjne. | Basic Security Test i ocena architektury (Weryfikacja). Zespół QA, który sam testuje bezpieczeństwo: OTWA, QA Security Testing Transformation. | OWASP ASVS · WSTG |
| Kompetencje DORA art. 13 ust. 6 |
Obowiązkowe szkolenia dla wszystkich pracowników i kadry kierowniczej, dopasowane do pełnionej funkcji. Programista, tester i architekt potrzebują różnych zakresów. | Sesja ekspercka dla szerokiej grupy, szkolenia PMZ, OTWA i ABCD dla zespołów, program Security Champions (Doradztwo). | OWASP Top 10 · ASVS |
Czego nie obiecujemy
- Certyfikatu. Dla DORA nie istnieje. Zgodność oceniają nadzór i Twoje audyty wewnętrzne.
- Całej DORA. Nie zajmujemy się raportowaniem incydentów, rejestrem informacji o umowach z dostawcami ICT ani monitoringiem infrastruktury.
- Wykładni prawnej. Należy do Twojego działu compliance albo kancelarii.
Specjalizujemy się w jednym obszarze: bezpieczeństwie procesu wytwórczego. Gapy wskazane przez ocenę zgodności domykamy w ramach Compliance readiness (Doradztwo).