I
Dowód przy każdym ustaleniu.
Ile kont bez MFA, ile podatnych usług, ile dni od ostatniej sprawdzonej kopii. Liczby, zrzuty, ścieżka ataku.
PointZero · Bezpieczeństwo ofensywne i zgodność
Sprawdzamy, czy da się wejść. Zanim zrobi to ktoś inny.
Testy penetracyjne, audyty KSC i NIS2, vCISO i vSOC dla samorządów, jednostek publicznych i firm, które muszą pokazać, że ich bezpieczeństwo działa w praktyce.
01 · Dla kogoTam, gdzie bezpieczeństwo trzeba udowodnić
Dla kogo pracujemy
Pracujemy tam, gdzie prędzej czy później ktoś zapyta: 'a jak to sprawdziliście?' - kontrola, audytor dostawcy, zamawiający, zarząd albo ubezpieczyciel.
A
Samorządy i jednostki publiczne
Urzędy, spółki komunalne, jednostki organizacyjne. Audyty, testy, nadzór nad wdrożeniem i szkolenia - także w trybie zamówień publicznych.
B
Podmioty kluczowe i ważne
Organizacje objęte KSC i NIS2. Analiza luk, rejestr ryzyk, przygotowanie do audytu i kontroli.
C
Dostawcy dużych organizacji
Firmy, od których duży klient wymaga dowodu bezpieczeństwa (ankieta dostawcy, zapis w umowie). Dostajecie raport, który da się mu pokazać.
D
Integratorzy i firmy IT
Podwykonawstwo tam, gdzie potrzebny jest zespół ofensywny albo audytorski. Pod Waszą marką albo jako wskazany podwykonawca.
18:05 · Urząd, biuro, serwerownia
W biurze gasną światła. W sieci zaczyna się dzień pracy.
EXT.
Nikt nie celuje w konkretną gminę ani konkretną firmę. Automaty skanują całe pule adresów i zapisują każde otwarte okno. Potem ktoś przegląda listę i wybiera to, co najłatwiejsze.
02 · UsługiSiedem obszarów, jeden standard raportu
Co robimy
-
01
Testy penetracyjne
Kontrolowany atak na uzgodniony zakres, prowadzony tak, jak zrobiłby to 'Pan Atakujący'. Wyłącznie na podstawie pisemnej zgody i planu testów.
- Aplikacje webowe, mobilne i API
- Infrastruktura zewnętrzna, sieć wewnętrzna, Active Directory
- Środowiska chmurowe i Microsoft 365
- Symulacja ataku (red team) i kampanie phishingowe
WynikRaport dla zarządu, raport techniczny z dowodami i oceną ryzyka, plan naprawczy krok po kroku. Retest po poprawkach. -
02
Audyt KSC i NIS2
Sprawdzamy, jak organizacja ma się do wymagań ustawy o KSC i dyrektywy NIS2. Dokumentację weryfikujemy testami - jeśli procedura mówi, że kopie są sprawdzane, to sprawdzamy kopie.
- Czy i jak podmiot jest objęty przepisami
- Analiza luk względem wymagań
- Szacowanie ryzyka i rejestr ryzyk
- Plan działań z priorytetami i właścicielami
WynikRaport z audytu, plan wdrożenia z właścicielami zadań, dokumentacja gotowa do kontroli. -
03
vCISO
Zewnętrzny szef bezpieczeństwa na część etatu. Dla organizacji, które potrzebują osoby odpowiedzialnej za bezpieczeństwo, a nie potrzebują (albo nie znajdą) CISO na pełen etat.
- Strategia i roczny plan bezpieczeństwa
- Nadzór nad wdrożeniem ISMS, KSC i NIS2
- Kontakt z audytorami, organami i dostawcami
- Raportowanie do zarządu
WynikJedna osoba odpowiedzialna za bezpieczeństwo, regularny raport dla zarządu, porządek w dokumentacji. -
04
vSOC
Monitoring bezpieczeństwa i reagowanie na incydenty bez budowania własnego SOC. Na narzędziach, które organizacja zwykle już ma w Microsoft 365.
- Microsoft Sentinel i Defender XDR - wdrożenie i strojenie
- Reguły wykrywania i scenariusze reakcji pod Wasze środowisko
- Obsługa incydentów i zgłoszenia do CSIRT
- Miesięczny raport: incydenty, trendy, rekomendacje
WynikCiągły monitoring, procedura reagowania na incydent, raport co miesiąc. -
05
Łańcuch dostaw
Ocena dostawców i produktów, z których korzystacie, oraz przygotowanie Waszych produktów do wymagań klientów i regulacji, w tym CRA.
- Ocena bezpieczeństwa dostawców
- Wymagania bezpieczeństwa do umów i SWZ
- Testy oprogramowania przed wdrożeniem
- Przygotowanie do Cyber Resilience Act
WynikKryteria i oceny dostawców, wymagania gotowe do wpisania w zamówienie lub umowę. -
06
Bezpieczne AI
Narzędzia AI weszły do organizacji szybciej niż zasady ich używania. Ustalamy, co jest używane, co wycieka i jak to uporządkować.
- Inwentaryzacja narzędzi AI w organizacji
- Polityka użycia AI i lista dozwolonych usług
- Testy aplikacji opartych o modele językowe: prompt injection, wycieki danych
- Ocena ryzyka planowanych wdrożeń
WynikPolityka, rejestr narzędzi, raport z testów. -
07
Szkolenia
Dla pracowników i dla kierownictwa - NIS2 wprost wymaga szkoleń dla organów zarządzających.
- Cyberhigiena i rozpoznawanie phishingu
- Obowiązki KSC i NIS2 dla kadry zarządzającej
- Ćwiczenia z reagowania na incydent
- Zajęcia stacjonarne i zdalne
WynikMateriały, lista obecności, zaświadczenia i wnioski do dalszych działań.
03 · Przykładowy przebieg testu
Jeden tydzień. Jedna strona dla zarządu.
- PON 09:00Start · zakres, zgody i okna czasowe potwierdzone na piśmie
- PON 14:20Rozpoznanie · 37 usług wystawionych do internetu, 4 bez aktualizacji
- WT 16:05Dostęp · panel VPN, hasło z publicznego wycieku, brak MFA
- ŚR 10:12Eskalacja · konto serwisowe z uprawnieniami administratora domeny
- ŚR 10:40Zgłoszenie · krytyczne znalezisko przekazane klientowi tego samego dnia
- PT 12:00Zarząd · ryzyko, koszt naprawy, właściciel, termin
Scenariusz ilustracyjny, złożony z typowych znalezisk. Każdy test ma własny zakres i plan, uzgodnione przed startem.
04 · Jak pracujemyTrzy zasady i pięć kroków
Jak pracujemy
II
Nic bez zgody na piśmie.
Zakres, okna czasowe, osoby kontaktowe i warunki przerwania testu ustalamy przed startem. Wszystko pod NDA.
III
Raport czyta zarząd.
Jedna strona w języku decyzji: co grozi, ile kosztuje naprawa, kto ma to zrobić i do kiedy. Szczegóły techniczne idą osobno do IT.
01
Rozmowa
Cel, kontekst, wymagania zamawiającego. Pod NDA.
02
Zakres
Plan testów lub audytu, harmonogram, zgody, osoby kontaktowe.
03
Realizacja
Krytyczne znaleziska zgłaszamy tego samego dnia.
04
Raport
Wersja dla zarządu, wersja techniczna i plan naprawczy: co, w jakiej kolejności i kto (IT, agencja od strony, dostawca).
05
Retest
Sprawdzamy poprawki i potwierdzamy na piśmie, że luka jest zamknięta.
05 · ZespółKto to robi
Kto to robi
Rdzeń zespołu
25 lat po stronie atakującego.
Testy penetracyjne od czasów, gdy nikt jeszcze tak tego nie nazywał. Kierowanie zespołem red team w międzynarodowej firmie technologicznej, wystąpienie na Black Hat USA. Przy większych projektach dołączają specjaliści dobrani pod zakres (i sprawdzeni przez nas w boju).
- Sektor publicznyUrząd gminy - audyt bezpieczeństwa, nadzór nad wdrożeniem zaleceń, szkolenie pracowników
- Model współpracyBezpośrednio z zamawiającym albo jako podwykonawca integratora
- DokumentyPełna 'książka' do naprawy: raport dla zarządu i techniczny, polityki i procedury ISMS, instrukcje, checklisty. Każde zadanie ma właściciela (IT, agencja od strony, dostawca) i kolejność kroków.
- ReferencjeUdostępniamy na potrzeby postępowania, za zgodą klientów
W przygotowaniu
Shield
Stała ochrona dla firm, które nie mają własnego działu bezpieczeństwa. Sprzedawana przez tych, którym już ufają: biura rachunkowe, kancelarie i firmy IT.
W abonamencie: regularne sprawdzanie tego, co firma wystawia do internetu, kontrola wycieków haseł, testy phishingowe i miesięczny raport na jedną stronę. Partner zostaje twarzą wobec klienta, my robimy robotę za ścianą. Dla małej firmy, od której duży klient zaczyna wymagać dowodu bezpieczeństwa, to najprostszy sposób, żeby go mieć.
Zainteresowani? Odezwijcie sięSzczegóły wkrótce
06 · KontaktPierwsza rozmowa bez zobowiązań
Porozmawiajmy o zakresie.
Na pierwszej rozmowie ustalamy cel, zakres i termin. Jeśli nie jesteśmy właściwym wykonawcą - powiemy to wprost (i zwykle wskażemy, kto jest).