Cyber Security & NIS2
Techniczne weryfikacje bezpieczeństwa sieci, aplikacji i infrastruktury: wykrywamy podatności, wykazujemy ich realny wpływ i wspieramy przedsiębiorstwo w ich usuwaniu, przekazując raporty zrozumiałe dla zarządu i wykonalne dla działu IT.
Co robimy
Powtarzalnie skanujemy zewnętrzną powierzchnię ataku, sieć wewnętrzną i systemy, klasyfikujemy podatności według punktacji CVSS i oddzielamy je od fałszywych alarmów. Powstaje inwentarz słabych punktów, który aktualizujemy w kolejnych cyklach.
W kontrolowany sposób wykorzystujemy podatności, aby wykazać ich konkretne skutki: dostęp do danych, eskalację uprawnień, ruch lateralny w sieci. Podejście black, grey lub white box zależnie od celu i w granicach uzgodnionych pisemnie.
Testujemy aplikacje internetowe, API oraz aplikacje mobilne zgodnie ze standardami OWASP: uwierzytelnianie, zarządzanie sesją, kontrolę dostępu, walidację danych wejściowych, ekspozycję danych i logikę aplikacji.
Weryfikujemy konfiguracje i uprawnienia w Active Directory, ustawienia środowisk chmurowych (tożsamość, magazyny danych, sieć) oraz bezpieczeństwo firmowych sieci Wi-Fi: obszary, od których zaczyna się wiele realnych ataków.
Mierzymy reakcję ludzi za pomocą uzgodnionych kampanii symulowanego phishingu i inżynierii społecznej, z poszanowaniem przepisów o ochronie danych oraz prawa pracy, a zagregowane wyniki przekładamy na ukierunkowane szkolenia dla najbardziej narażonych ról, bez celów dyscyplinarnych.
Wyniki przekładamy na bezpieczniejsze konfiguracje: linie bazowe hardeningu dla systemów, sieci i chmury, przegląd uprawnień i uwierzytelniania, wskazania dla monitorowania. Na życzenie zapewniamy stałe wsparcie osobom, które w firmie odpowiadają za bezpieczeństwo.
Ataki informatyczne nie dotyczą już tylko dużych organizacji. Ransomware, kradzież danych uwierzytelniających, przejęcie firmowej poczty i ataki przez dostawców regularnie dotykają MŚP, często wykorzystując podatności znane od miesięcy i nigdy nienaprawione. Pytanie, które powinien zadać sobie zarząd, nie brzmi, czy przedsiębiorstwo jest podatne na atak, lecz jak bardzo, z której strony i z jakimi konsekwencjami.
Przepisy dostosowano do tej rzeczywistości. Art. 32 RODO nakłada obowiązek stosowania środków bezpieczeństwa odpowiednich do ryzyka i wyraźnie wskazuje, wśród środków wdrażanych stosownie do potrzeb, procedurę regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych. Dyrektywa NIS2, wdrożona włoskim dekretem ustawodawczym nr 138/2024, wymaga od podmiotów kluczowych i ważnych przyjęcia środków zarządzania ryzykiem cyberbezpieczeństwa oraz oceny ich skuteczności (art. 24), z bezpośrednią odpowiedzialnością organów zarządzających (art. 23). Specyfikacje techniczne i terminy określa włoska Krajowa Agencja Cyberbezpieczeństwa (Agenzia per la Cybersicurezza Nazionale, ACN), która nadzoruje wdrożenie.
Norma ISO/IEC 27001:2022 obejmuje wśród swoich zabezpieczeń zarządzanie podatnościami technicznymi (A.8.8) oraz testy bezpieczeństwa w fazie rozwoju i odbioru (A.8.29), poddawane przeglądowi w ramach okresowego monitorowania systemu. W sektorze finansowym rozporządzenie DORA wprowadza okresowy program testów operacyjnej odporności cyfrowej.
Test bezpieczeństwa jest wart tyle, ile jego przygotowanie. Dlatego pierwszym etapem jest zawsze określenie zakresu: wspólnie z przedsiębiorstwem ustalamy, które systemy naprawdę liczą się dla biznesu, jakie dane trzeba chronić i które działania nie mogą zostać zatrzymane. Z tego wynikają zasięg weryfikacji, rodzaj testu oraz zasady jego prowadzenia, sformalizowane w pisemnej autoryzacji i objęte umową o zachowaniu poufności.
Wyraźnie rozdzielamy dwa narzędzia. Ocena podatności (vulnerability assessment) to szeroka i powtarzalna fotografia: systematyczne skanowanie, ręczna weryfikacja wyników, klasyfikacja według punktacji CVSS. Test penetracyjny to pogłębione badanie: kontrolowane wykorzystanie podatności, aby zmierzyć rzeczywiste skutki ataku, z podejściem black, grey lub white box zależnie od tego, ile wiemy o systemach na starcie. Stosujemy uznane metodyki (PTES, NIST SP 800-115, OSSTMM), a dla aplikacji standardy OWASP.
Poza obszarami opisanymi powyżej, gdy wymaga tego kontekst, rozszerzamy weryfikacje na środowiska OT i IoT, a dla organizacji bardziej dojrzałych na ćwiczenia red team, które wystawiają na próbę całą zdolność wykrywania i reagowania. Praca nie kończy się na raporcie: retest oraz wsparcie w usuwaniu podatności są częścią naszej usługi.
Nasza metoda
Wspólnie z przedsiębiorstwem ustalamy cele, zakres, wyłączenia, rodzaj testu, okna czasowe i kanały awaryjne. Formalizujemy pisemną autoryzację, umowę o zachowaniu poufności oraz, gdy dochodzi do dostępu do danych osobowych, umowę powierzenia na podstawie art. 28 RODO.
Odtwarzamy powierzchnię ataku, identyfikujemy usługi i ich wersje, wykonujemy skanowanie podatności i ręcznie weryfikujemy wyniki, aby wyeliminować fałszywe alarmy.
W teście penetracyjnym próbujemy wykorzystać podatności zgodnie z uzgodnionymi zasadami, dokumentując każdy krok dowodami i przerywając działania w razie ryzyka dla ciągłości operacyjnej.
Klasyfikujemy wyniki według punktacji CVSS i odnosimy je do kontekstu biznesowego. Przekazujemy raport zarządczy oraz raport techniczny i omawiamy je z zarządem i działem IT na dedykowanym spotkaniu.
Wspieramy techników w naprawie, retestem potwierdzamy zamknięcie podatności i wydajemy końcowe zaświadczenie. Ustalamy częstotliwość kolejnych weryfikacji.
Korzyści
Efekty pracy
Częste pytania
To zależy od tego, co chcą Państwo wiedzieć. Jeżeli celem jest szeroka i powtarzalna fotografia słabych punktów, aktualizowana okresowo, wystarczy ocena podatności. Jeżeli trzeba zrozumieć, co atakujący rzeczywiście uzyskałby z aplikacji dostępnej z internetu, ze zdalnego dostępu albo z sieci wewnętrznej, lub gdy klient wymaga zaświadczenia, potrzebny jest test penetracyjny. Często warto zacząć od pierwszego, a drugim pogłębić analizę systemów, które naprawdę się liczą.
Ryzyko istnieje i właśnie dlatego zarządzamy nim przed rozpoczęciem prac: ustalamy, które systemy wyłączyć lub traktować ze szczególną ostrożnością, wyznaczamy okna czasowe, unikamy technik destrukcyjnych i utrzymujemy bezpośredni kanał kontaktu z działem IT, aby móc zatrzymać działania w każdej chwili.
Zalecamy co najmniej roczną pełną weryfikację oraz test ukierunkowany po każdej istotnej zmianie: nowe aplikacje, migracje do chmury, fuzje, otwarcie nowych lokalizacji. Dla systemów dostępnych z internetu częstsza ocena podatności, także kwartalna, jak wymaga PCI DSS od podmiotów przetwarzających dane kart, pomaga wychwycić nowo opublikowane podatności. Częstotliwość dostosowujemy do ryzyka, a nie ustalamy jej raz na zawsze.
Żaden przepis ogólny nie nakłada go pod tą nazwą; robią to regulacje sektorowe, takie jak DORA dla pośredników finansowych, oraz standardy umowne, takie jak PCI DSS dla podmiotów przetwarzających dane kart. Inne wymagają go co do istoty: RODO (art. 32), NIS2 i ISO/IEC 27001 nakazują regularnie weryfikować skuteczność środków bezpieczeństwa i móc to udokumentować. Niezależny test jest najprostszym sposobem, aby to zrobić i pozostawić dowód.
Tak, z dwóch powodów. Kto projektuje i utrzymuje systemy, rzadko widzi ich słabe punkty oczami atakującego; klienci, audytorzy i organy nadzoru przywiązują zaś wagę do niezależności podmiotu weryfikującego. Nie zastępujemy dostawcy IT, z którym pracuje przedsiębiorstwo: włączamy go do prac, dzielimy się wynikami w konstruktywny sposób i wspieramy w naprawie. Niezależny test jest także sposobem oceny jakości usługi, którą przedsiębiorstwo otrzymuje.
Usługi powiązane
Dostosowanie do dyrektywy (UE) 2022/2555 i włoskiego dekretu ustawodawczego 138/2024: zakres podmiotowy, analiza luk, środki bezpieczeństwa, ład korporacyjny i zgłaszanie incydentów.
Dowiedz się więcejDostosowanie do rozporządzenia (UE) 2016/679 i włoskiego Kodeksu ochrony danych osobowych: audyt, rejestr czynności przetwarzania, DPIA, polityki i szkolenia.
Dowiedz się więcejProjektowanie, wdrażanie i utrzymywanie systemów zarządzania podlegających certyfikacji: ISO 9001, 14001, 45001, 27001, 37001, 50001 oraz główne schematy branżowe i łańcucha dostaw.
Dowiedz się więcejPorozmawiajmy
Prosimy opowiedzieć o priorytetach Państwa firmy: podczas pierwszego spotkania bez zobowiązań analizujemy sytuację i proponujemy konkretną ścieżkę, z terminami i mierzalnymi rezultatami.