Metodologia

Ten sam proces. Za każdym razem.

Opisujemy, jak pracujemy, zanim podpiszesz umowę. Dział bezpieczeństwa i zakupów może to sprawdzić i porównać.

Pobierz metodologię (PDF)Zamów audyt

Audyty AI Business Lab przebiegają w sześciu etapach: ustalenie zakresu i zasad, zebranie informacji, weryfikacja techniczna, ocena ryzyka, raport z omówieniem oraz weryfikacja poprawek. Każde ustalenie ma dowód, ocenę wpływu i prawdopodobieństwa oraz jeden z pięciu poziomów: krytyczny, wysoki, średni, niski lub informacyjny. Punktami odniesienia są m.in. CIS Controls, OWASP (WSTG, API Security Top 10, Top 10 for LLM Applications), MITRE ATT&CK i ATLAS oraz wymagania ustawy o krajowym systemie cyberbezpieczeństwa. Dane klienta przetwarzamy tylko w zakresie potrzebnym do audytu i usuwamy po jego zakończeniu, zgodnie z umową.

Etapy

Sześć etapów audytu.

  1. 01

    Zakres i zasady

    Ustalamy cel, systemy, osoby kontaktowe, okno prac i to, czego nie dotykamy. Podpisujemy NDA i, jeśli przetwarzamy dane osobowe, umowę powierzenia.

  2. 02

    Zebranie informacji

    Rozmowa z IT i właścicielami procesów, przegląd konfiguracji i dokumentów. Pracujemy na dostępach tylko do odczytu, chyba że zakres mówi inaczej.

  3. 03

    Weryfikacja techniczna

    Sprawdzamy konfigurację i zachowanie systemów: domena i poczta, tożsamość i uprawnienia, strona i aplikacje, kopie zapasowe, narzędzia AI.

  4. 04

    Ocena ryzyka

    Każde ustalenie ma dowód, ocenę wpływu i prawdopodobieństwa oraz poziom: krytyczny, wysoki, średni, niski lub informacyjny.

  5. 05

    Raport i omówienie

    Podsumowanie dla zarządu, szczegóły dla IT, plan naprawczy z kolejnością i właścicielami. Omawiamy wyniki na spotkaniu.

  6. 06

    Weryfikacja poprawek

    Po wdrożeniu zmian sprawdzamy ponownie ustalenia krytyczne i wysokie. Raport dostaje aktualizację statusu.

Skala ocen

Pięć poziomów ryzyka.
Jedna definicja dla wszystkich raportów.

Krytyczny

Możliwe przejęcie kont, systemów lub danych bez dodatkowych warunków. Naprawa natychmiast.

Wysoki

Poważny wpływ przy realnym scenariuszu ataku. Naprawa w najbliższym cyklu prac.

Średni

Wpływ ograniczony albo wymaga dodatkowych warunków. Naprawa planowa.

Niski

Utrudnienie dla atakującego lub dobra praktyka. Do rozważenia.

Informacyjny

Obserwacja bez bezpośredniego ryzyka, przydatna przy planowaniu.

Zasady

Jak chronimy Ciebie w trakcie audytu.

Zasady testów

  • Pisemna zgoda właściciela systemów i ustalony zakres
  • Okno prac i osoby kontaktowe po obu stronach
  • Działania nieodwracalne tylko na kopii lub po zgodzie
  • Ustalenia krytyczne zgłaszane od razu

Dane klienta

  • NDA i umowa powierzenia przed startem
  • Dostępy tylko do odczytu, gdy to możliwe
  • Dowody przechowywane w szyfrowanej lokalizacji
  • Usunięcie danych po zakończeniu, zgodnie z umową

Punkty odniesienia

  • CIS Controls
  • OWASP WSTG, API Top 10, Top 10 for LLM
  • MITRE ATT&CK i ATLAS
  • Ustawa o KSC (NIS2), RODO
Pytania

Częste pytania.

Na jakich standardach opiera się audyt?

Na CIS Controls dla przeglądu zabezpieczeń organizacji, na OWASP (WSTG, API Security Top 10, Top 10 for LLM Applications) dla aplikacji i systemów AI, na MITRE ATT&CK i ATLAS dla scenariuszy ataków oraz na wymaganiach ustawy o KSC przy przeglądzie zgodności z NIS2.

Jak oceniacie poziom ryzyka?

Każde ustalenie oceniamy pod kątem wpływu (co się stanie, jeśli ktoś je wykorzysta) i prawdopodobieństwa (jak łatwo to zrobić). Wynik to jeden z pięciu poziomów: krytyczny, wysoki, średni, niski lub informacyjny. Definicje są takie same we wszystkich raportach.

Co dzieje się z danymi po audycie?

Dowody i dane z audytu przechowujemy w szyfrowanej lokalizacji tylko przez czas określony w umowie, a następnie usuwamy. Raport zostaje u klienta.

Sprawdź metodologię
albo od razu zakres.

Pobierz PDF dla działu bezpieczeństwa albo umów rozmowę o zakresie.

Pobierz PDFZamów audyt
Zgłoś incydent