KSC bez paniki: sieć już zabezpieczasz, brakuje dowodów.
Utrzymujesz sieć, masz monitoring, reagujesz na awarie po nocach i wiesz o swojej infrastrukturze więcej niż ktokolwiek z zewnątrz. Problemem nie jest bezpieczeństwo, tylko to, że rok później trudno udowodnić, co i kiedy zrobiliście. KSC pyta właśnie o to.
Bez konsultantów · onboarding w cenie · nielimitowani użytkownicy
Nie musisz mieć ISO 27001, żeby zacząć
To najczęstsze nieporozumienie, jakie słyszymy. KSC nie wymaga certyfikatu. Wymaga, żeby dało się pokazać, jak zarządzasz ryzykiem, co robisz z incydentami i czy ludzie wiedzą, jak się zachować. Certyfikat to jedna z dróg, żeby to udowodnić. Nie jedyna i nie pierwsza.
„To projekt na pół roku i etat, którego nie mamy."
Pierwszy tydzień to konfiguracja i import tego, co już masz. Potem pracujesz z listą zadań, a nie z pustym segregatorem.
„Trzeba będzie przebudować całą sieć."
Zwykle nie. Większość braków to nieopisane procedury i brak zapisu tego, co i tak robicie. Techniczne zmiany bywają, ale rzadko są największą pozycją.
„Bez konsultanta się nie da."
Da się, choć nie zawsze warto. Sami przeszliśmy własny audyt bez konsultantów. Niżej piszemy, kiedy naszym zdaniem konsultant jednak się przydaje.
Incydenty obsługujesz od lat. Chodzi o ślad po nich.
U operatora incydent zwykle żyje w telefonach, na kanale dyżurnym i w głowie osoby, która akurat miała nockę. Do rana sieć działa, ale nie ma z tego nic, co dałoby się komuś pokazać. Moduł incydentów zamienia tę robotę w zapis.
Rejestr z klasyfikacją wagi
Każdy incydent z datą, wagą, osobą prowadzącą i przebiegiem. Kiedy ktoś pyta o zdarzenie sprzed ośmiu miesięcy, odpowiedź jest w jednym miejscu.
Działania korygujące, nie tylko opis
Do incydentu dopinasz wnioski i konkretne działania z właścicielem i terminem. To ta część, o którą audytor pyta najczęściej, bo pokazuje, że wyciągacie wnioski.
Anonimowy kanał zgłoszeń
Portal, w którym pracownik albo klient zgłasza problem bez zakładania konta i dostaje token do śledzenia sprawy. Zgłaszający widzi, że coś się dzieje, a Ty masz dowód, że kanał realnie istnieje.
Ewidencja powiadomień
Zapisujesz, kogo i kiedy poinformowaliście. Uczciwie: AuditBadger nie wysyła zgłoszeń do CSIRT ani do urzędu za Ciebie. Prowadzi dokumentację, którą zgłaszasz i którą potem trzeba umieć odtworzyć.
Twoi ludzie wiedzą, co robią. Brakuje podpisu pod tym.
Monter, technik z NOC i osoba z biura obsługi potrzebują zupełnie różnych rzeczy, a typowe szkolenie z pudełka mówi wszystkim to samo o phishingu i kończy się listą obecności. To nie jest dowód, tylko formalność.
Kursy z Twoich własnych procedur
Wgrywasz politykę albo procedurę, a AI robi z niej kurs z lekcjami i quizem. Szkolenie mówi o Waszej sieci i Waszych zasadach, nie o abstrakcyjnej firmie z przykładu.
Przypisanie według roli
Inne materiały dla techników, inne dla biura, inne dla zarządu. Nikt nie klika przez godzinę treści, która go nie dotyczy.
Ukończenie staje się dowodem
Kto, kiedy, z jakim wynikiem i do której kontroli to się liczy. Zapis powstaje sam, więc nikt nie zbiera podpisów na kartce przed kontrolą.
Odnowienia bez pilnowania
Ustawiasz okres ważności, a system sam zapisuje ludzi ponownie i przypomina. Nowa osoba w firmie dostaje swój zestaw od razu.
Co jeszcze siedzi w tym samym miejscu
Incydenty i szkolenia to część, którą czuć najszybciej. Reszta zwykle przychodzi zaraz po nich i lepiej, żeby nie mieszkała w osobnych arkuszach.
Ryzyko
Rejestr z punktacją, planem postępowania i migawkami w czasie. Widać, co zdecydowaliście i kto to zdecydował.
Dostawcy
Ankiety wysyłane bezpiecznym linkiem. Dostawca odpowiada bez zakładania konta, więc realnie odpowiada.
Ciągłość działania
Plany, przeglądy zarządzania i dokumentacja, do której da się wrócić po roku i zrozumieć, co się działo.
Polityki
AI pisze pierwszą wersję na podstawie Waszego stacku i praktyki. Ty czytasz, poprawiasz i zatwierdzasz. Nic nie publikuje się samo.
Dowody techniczne
Ponad 120 automatycznych sprawdzeń w 12 integracjach. Harmonogram to raz w miesiącu, plus na żądanie, kiedy naciśniesz przycisk. Niektórzy nazywają to ciągłym monitoringiem. My nazywamy to po imieniu.
Ślad audytowy
Każda zmiana ma autora i datę, łącznie ze zmianami podpowiedzianymi przez AI, które i tak wymagają Twojego potwierdzenia.
Sami przeszliśmy przez audyt na własnym narzędziu
AuditBadger ukończył własne badanie SOC 2® Type II, prowadząc cały program w AuditBadger. Bez zewnętrznych konsultantów. Nie znamy tej drogi z prezentacji, tylko stąd, że sami nią przeszliśmy. Współpracujemy też z certyfikowaną audytorką wiodącą ISO 27001.
Zobacz, co jest w cenieCzego nie zrobimy
Nie jesteśmy kancelarią i nie powiemy Ci, czy i w jakim zakresie KSC obejmuje Twoją firmę. Nie wysyłamy za Ciebie zgłoszeń do CSIRT ani do urzędu. Nie zastępujemy audytora, bo decyzje audytowe i tak zostają po jego stronie.
Wsparcie pod sam KSC dokładamy w najbliższych dniach. Dzisiaj prowadzimy SOC 2 i ISO 27001, a moduły, o których piszemy wyżej, działają niezależnie od tego, pod jaki reżim je podpinasz. Piszemy to wprost, żebyś wiedział, co dostajesz od razu, a co za chwilę.
Jeśli działasz w mocno regulowanym obszarze albo potrzebujesz kogoś na stałe w zespole, weź konsultanta. Wolimy to powiedzieć, niż sprzedać Ci coś nie tego. Jest też droga pośrednia: wdrożenie przeprowadzamy razem z Twoim zespołem jako osobną usługę, wycenianą po rozmowie o zakresie.
Zobacz, jak wygląda wdrożenie z namiDomena mówi KSC, produkt nazywa się AuditBadger
Ta strona stoi na osobnej domenie z prozaicznego powodu: wysyłamy niewielkie ilości poczty wychodzącej z kilku domen, żeby jeden nadgorliwy filtr nie położył firmowej skrzynki. Produkt, cennik i ludzie są na auditbadger.com.
Jeśli nasz mail trafił w zły moment, odpisz i napisz to wprost. Czyta je człowiek, nie autoresponder.
Zacznij od incydentów i szkoleń
To dwie rzeczy, które w KSC widać najszybciej, a u operatora dają się uporządkować w kilka dni. Reszta układa się wokół nich.
Wolisz najpierw porozmawiać? Umów demo z founderem.