Przegląd usługi
Oceniamy aplikacje, ich zależności oraz sposób, w jaki są budowane i wydawane, aby znaleźć luki w zabezpieczeniach, zanim zrobią to atakujący. Każde zlecenie kończy się dwoma raportami - oceną stanu wyjściowego oraz raportem po naprawach, który pokazuje usunięte najpoważniejsze luki i uporządkowany plan na resztę.
Jak Pracujemy
Poznanie
Poznajemy, jak łączą się Twoje systemy, kto ma dostęp i od czego zależy produkcja.
Ocena
SBOM, SAST/DAST, fuzzing i granice zaufania, uszeregowane według CVSS.
Naprawa
Krytyczne i wysokie luki naprawiamy sami i testujemy ponownie.
Ochrona
Utwardzenie, minimalne uprawnienia i bramki bezpieczeństwa w każdym pull requeście.
Co Obejmuje Usługa
Definicja Granic
Podpisany dokument zakresu i zasad zaangażowania, obejmujący aplikacje, API, segmenty sieci i połączenia zewnętrzne objęte testami.
SBOM i Audyt Łańcucha Dostaw
Wykaz komponentów oprogramowania (SBOM) w standardzie CycloneDX dla całego rozwiązania - zależności bezpośrednie, pośrednie, komercyjne i natywne - zweryfikowany względem rejestrów pakietów, GitHub Advisory Database, OSV i OSS-Fuzz pod kątem bibliotek podatnych, wycofanych i przestarzałych.
SAST i DAST
Statyczna analiza kodu źródłowego niezależnie od języka i technologii, z regułami OWASP Top 10 i CWE Top 25, oraz dynamiczne testy działających aplikacji i API, w tym czarnoskrzynkowy fuzzing mutacyjny interfejsów przetwarzających dane z zewnątrz.
Analiza Architektury i Granic Zaufania
Każde miejsce, w którym dane przechodzą między komponentami o różnym poziomie zaufania - użytkownik i aplikacja, aplikacja i usługi zewnętrzne, instalacja dostawcy i klienta - sprawdzone pod kątem tożsamości, uprawnień i integralności, wraz z kontrolą dostępu, kryptografią, licencjonowaniem i obsługą sekretów.
Zarządzanie Ryzykiem
Modelowanie zagrożeń jedną ze sprawdzonych metodyk, np. STRIDE, a każde ustalenie ocenione w skali CVSS 3.1 i zebrane w jednym rejestrze ryzyka z uporządkowanym planem naprawczym - wiesz dokładnie, co naprawić najpierw.
Naprawy i Utwardzanie
Naprawiamy ustalenia krytyczne i wysokie w zakresie naszej kontroli, a następnie wykonujemy retest: szyfrowana i wzajemnie uwierzytelniona komunikacja, aktualizacja zależności, kontrola dostępu egzekwowana poza warstwą UI, sekrety usunięte z kodu źródłowego i testy regresyjne dla każdej poprawki.
Raport po Naprawach
Drugi raport po wdrożeniu poprawek: co zostało zamknięte, co pozostaje i dlaczego oraz uporządkowany plan na resztę - przejrzysty dokument dla klientów i zarządu.
Mapowanie Zgodności (Dodatek)
Na życzenie ustalenia i poprawki przypisujemy do wymagań art. 21 NIS2, ISO/IEC 27001 lub NIST CSF 2.0, dzięki czemu raporty mogą posłużyć jako materiał wejściowy do formalnej analizy ryzyka.
Protokoły Przemysłowe (Dodatek)
Testy bezpieczeństwa, fuzzing i naprawy komunikacji między Twoim oprogramowaniem a sterownikami przemysłowymi - przez OPC UA i inne protokoły przemysłowe - np. szyfrowane kanały z wzajemnym uwierzytelnianiem certyfikatami. Testy prowadzimy na dedykowanym środowisku testowym, więc żadna maszyna produkcyjna nie jest narażona.
Integracja Bramek Bezpieczeństwa (Dodatek)
Kontrole SCA, SAST i SBOM wbudowane w Twój proces budowania, dzięki czemu każde wydanie jest skanowane automatycznie, a do tego powtarzalne buildy z zatwierdzonego kodu, sekrety wstrzykiwane podczas budowania i sumy kontrolne SHA-256 dla każdego instalatora.
Wyzwanie
Problemy z bezpieczeństwem są znacznie tańsze do naprawienia przed ich wykorzystaniem niż po. Nasze oceny pokazują dokładnie, gdzie Twoje systemy są narażone, sami zamykamy najpoważniejsze luki i zostawiamy Ci udokumentowany obraz stanu bezpieczeństwa przed zmianami i po nich.
Przejrzysty Cennik
za Aplikację
Wybierz wariant dopasowany do złożoności Twojej aplikacji
Mały
Pojedyncze narzędzie wewnętrzne lub małe API, ograniczona powierzchnia ataku
- Definicja granic i zasad zaangażowania
- SBOM i audyt zależności
- SAST i DAST
- Analiza architektury i granic zaufania
- Zarządzanie ryzykiem (np. STRIDE, CVSS) i plan naprawczy
- Wdrożenie napraw dla ustaleń krytycznych/wysokich + retest
- Raport po naprawach
Standard
Aplikacja dla klientów z kilkoma integracjami
- Definicja granic i zasad zaangażowania
- SBOM i audyt zależności
- SAST i DAST
- Analiza architektury i granic zaufania
- Zarządzanie ryzykiem (np. STRIDE, CVSS) i plan naprawczy
- Wdrożenie napraw dla ustaleń krytycznych/wysokich + retest
- Raport po naprawach
Złożony
Architektura wieloserwisowa lub wiele integracji zewnętrznych
- Definicja granic i zasad zaangażowania
- SBOM i audyt zależności
- SAST i DAST
- Analiza architektury i granic zaufania
- Zarządzanie ryzykiem (np. STRIDE, CVSS) i plan naprawczy
- Wdrożenie napraw dla ustaleń krytycznych/wysokich + retest
- Raport po naprawach
Wsparcie
Najczęściej zadawane pytania
Konkretne odpowiedzi na pytania, które zespoły zadają przed rozpoczęciem współpracy.
Ile trwa ocena cyberbezpieczeństwa?
Pojedyncza aplikacja to zwykle cztery do ośmiu tygodni - od definicji granic po raport po naprawach. Zlecenia obejmujące wiele aplikacji ustalamy indywidualnie.
Co otrzymujemy na koniec?
Dwa raporty. Raport z oceny zawiera podsumowanie dla zarządu, metodykę, SBOM, analizę granic zaufania, ustalenia z oceną CVSS i rekomendacje. Raport po naprawach pokazuje, co zostało poprawione, co pozostaje i jakie są kolejne kroki. Zostaje u Ciebie również SBOM.
Jak traktujecie dane wrażliwe i dostęp?
Ograniczamy dostęp do niezbędnego minimum, korzystamy z ograniczonych czasowo poświadczeń i podpisujemy NDA przed rozpoczęciem oceny.
Czy testujecie systemy produkcyjne, czy tylko środowisko testowe?
Zakres ustalamy z góry - większość zleceń zaczyna się od środowiska testowego i niekrytycznych ścieżek produkcyjnych, a rozszerzamy je tylko za Waszą zgodą. Fuzzing prowadzimy na dedykowanym środowisku testowym, a nie na systemie działającym u Was produkcyjnie.
Czy faktycznie naprawiacie znalezione podatności, czy tylko je raportujecie?
Wdrożenie napraw dla ustaleń krytycznych i wysokich jest wliczone w cenę bazową każdego zlecenia, wraz z ponownym testem potwierdzającym zamknięcie luki. Gdy naprawa zależy od strony trzeciej lub wymaga większej zmiany - np. nowego formatu plików, podpisu cyfrowego wydań czy przebudowy licencjonowania - przekazujemy gotowe do wdrożenia zgłoszenie naprawcze zamiast ogólnej rekomendacji.
Czy raporty pomogą w zgodności z NIS2 lub ISO 27001?
Tak, w ramach dodatku. Przypisujemy ustalenia i poprawki do wymagań art. 21 NIS2, ISO/IEC 27001 lub NIST CSF 2.0, dzięki czemu raporty mogą bezpośrednio zasilić formalną analizę ryzyka i dowody do audytu.
Ile to kosztuje?
Cena jest ustalana za aplikację, w trzech wariantach zależnych od złożoności - dokładne stawki w EUR (z orientacyjnym przeliczeniem na PLN) znajdziesz w sekcji Cennik poniżej. Dodatki - mapowanie zgodności, protokoły przemysłowe i integrację bramek bezpieczeństwa - wyceniamy osobno.