przewiń tabelę w bok
| Obszar i przepis | Co to znaczy dla SDLC | Jak pomagamy | Standardy |
|---|---|---|---|
| Szacowanie ryzyka KSC art. 8 ust. 1 pkt 1 |
Zagrożenia rozpoznane przy projektowaniu, zanim powstanie kod, i ryzyko oceniane systematycznie, np. przy istotnych zmianach systemu. | Modelowanie zagrożeń: szkolenie PMZ, Threat Modeling Transformation, Threat Modeling Session dla Twojego systemu (Doradztwo). | STRIDE · TRIM · DREAD · LINDDUN |
| Bezpieczne wytwarzanie i testy KSC art. 8 ust. 1 pkt 2 lit. b |
Bezpieczeństwo w całym cyklu życia systemu, od wymagań po utrzymanie, z testami bezpieczeństwa po drodze. | Audyt dojrzałości SDLC (Weryfikacja) jako punkt wyjścia, potem wdrożenie Secure SDLC etapami (Doradztwo). SAST, DAST i SCA w pipeline: szkolenie ABCD, DevSecOps Transformation, wdrożenie praktyki (Doradztwo). | OWASP SAMM · DSOMM · NIST SSDF |
| Łańcuch dostaw KSC art. 8 ust. 1 pkt 2 lit. e, ust. 2 |
Kontrola bibliotek open source i komponentów od dostawców. Dla software house'u to też pytania klientów o jego proces. | SCA w pipeline: szkolenie ABCD, wdrożenie praktyki (Doradztwo). Sesja ekspercka „Bezpieczeństwo łańcucha dostaw". Dla dostawców oprogramowania: ocena zgodności (Weryfikacja). | NIST SSDF · SLSA |
| Podatności i aktualizacje KSC art. 8 ust. 1 pkt 3, pkt 5 lit. b i d |
Zarządzanie podatnościami z priorytetami i terminami naprawy oraz regularne aktualizacje oprogramowania. | Zarządzanie podatnościami: szkolenie ABCD, wdrożenie praktyki (Doradztwo). Testy bezpieczeństwa: Basic i Standard Security Test (Weryfikacja). | OWASP DSOMM · NIST SSDF |
| Ocena skuteczności KSC art. 8 ust. 1 pkt 2 lit. h |
Regularne sprawdzanie, czy praktyki działają: ocena dojrzałości procesu i testy bezpieczeństwa w stałym rytmie. | Audyt dojrzałości SDLC (Weryfikacja), Managed Security Program (Doradztwo). | OWASP SAMM · DSOMM |
| Edukacja KSC art. 8 ust. 1 pkt 2 lit. i |
Szkolenia także dla ludzi, którzy piszą i testują kod. Programista, tester i architekt potrzebują różnych zakresów. | Sesja ekspercka dla szerokiej grupy, szkolenia PMZ, OTWA i ABCD dla zespołów, program Security Champions (Doradztwo). | OWASP Top 10 · ASVS |
Czego nie obiecujemy
- Certyfikatu. Zgodność z ustawą formalnie oceniają audytorzy i organy nadzoru.
- Całej ustawy. Nie zajmujemy się zgłaszaniem incydentów, wpisem do wykazu podmiotów ani monitorowaniem infrastruktury.
- Wykładni prawnej. Należy do Twojego działu compliance albo kancelarii.
Specjalizujemy się w jednym obszarze: bezpieczeństwie procesu wytwórczego. Gapy wskazane przez ocenę zgodności (Weryfikacja) domykamy w ramach Compliance readiness (Doradztwo).