Zarządzanie bezpieczeństwem w Innowise

Q: 1. Szkolenie i wdrożenie

Przed rozpoczęciem każdego projektu członkowie zespołu podpisują korporacyjne umowy o zachowaniu poufności i zasady korzystania z sieci dowiadują się, jak postępujemy z danymi klienta, poświadczeniami i środowiskami przechodzą szkolenie oparte na rolach, dotyczące zasad bezpiecznego rozwoju i testowania Dzięki temu Twój projekt będzie realizowany przez zespół, który już w momencie dołączenia do niego będzie nastawiony na bezpieczeństwo.

Q: 2. Rozpoczęcie projektu: ustalenie podstawy bezpieczeństwa

Podczas inicjacji, wraz z Twoim zespołem: Konkretnie określamy obawy związane z bezpieczeństwem i prywatnością. Uzgodnimy własność środowiska (klient, Innowise lub strona trzecia) i lokalizacje hostingu. Zdefiniujemy obowiązujące standardy i przepisy (na przykład RODO, HIPAA, PCI DSS, SOC 2, lokalne zasady bankowe). Podjęcie decyzji o narzędziach, strukturach i komponentach z uwzględnieniem dojrzałości, historii dostawcy i historii poprawek. Pod koniec inicjacji wiemy, czego możemy używać, gdzie możemy to wdrożyć i których linii nie wolno nam przekraczać.

Certyfikat ISO 27001

ISMS dla projektowania, rozwoju i utrzymania oprogramowania

Wbudowane zabezpieczenia

wdrożenie praktyk SDLC i DevSecOps od pierwszego dnia pracy

Dedykowane zespoły

w zakresie cyberbezpieczeństwa, testów penetracyjnych i usług ochrony danych

Jak definiujemy bezpieczeństwo w Innowise?

Bezpieczeństwo budujemy w oparciu o to samo ustrukturyzowane podejście, którego używamy do zarządzanie jakością, Dzięki temu zarówno ryzyko, jak i dostawa pozostają pod kontrolą.

Bezpieczeństwo zaczyna się przed pierwszym żądaniem
Jeden system dla projektów, biur i chmury
Wspólna odpowiedzialność, wyraźna własność

Zespół konsultantów analizuje analitykę na ekranie, koncentrując się na strategii i rozwiązaniach IT opartych na danych

Konsultanci ds. oprogramowania koordynujący zadania techniczne w zakresie zwinnego rozwoju i zarządzania bezpieczeństwem IT

Zespół projektowy IT współpracujący nad strategią transformacji cyfrowej podczas spotkania w sali konferencyjnej

Bezpieczeństwo zaczyna się przed pierwszym żądaniem

Każde zlecenie traktujemy w pierwszej kolejności jako projekt związany z bezpieczeństwem, a dopiero w drugiej kolejności jako projekt dostawy. Zanim połączymy się z Twoimi systemami lub dotkniemy Twoich danych, my:

Podpisywanie umów o zachowaniu poufności z pracownikami i wykonawcami w ramach wdrażania i rozpoczynania projektu.
Pisemne określenie zakresu dostępu, środowisk i kategorii danych
Zgodność z wewnętrznymi wymogami dotyczącymi bezpieczeństwa i prywatności, zasadami branżowymi i lokalnymi przepisami.

Takie środki pozwalają zachować wyraźne granice projektu i zmniejszają szansę na niespodziewane ścieżki dostępu w późniejszym czasie.

Jeden system dla projektów, biur i chmury

Firma Innowise stosuje system ISMS z certyfikatem ISO 27001, który obejmuje projektowanie, rozwój i utrzymanie oprogramowania, rozwiązań chmurowych i systemów informatycznych. Oznacza to, że:

Używamy jednego ujednoliconego zestawu zasad bezpieczeństwa i kontroli w różnych zespołach.
Przeglądy i audyty bezpieczeństwa dotyczą zarówno infrastruktury wewnętrznej, jak i projektów klientów.
Zmiany w standardach lub przepisach wpływają na nasze procedury, a nie tylko na pojedynczy projekt.

Nie otrzymujesz jednorazowej “bezpiecznej konfiguracji projektu”. Pracujesz z firmą, która każdego dnia stosuje procedury bezpieczeństwa.

Wspólna odpowiedzialność, wyraźna własność

Bezpieczeństwo jest współdzielone przez Innowise i Twój zespół, ale utrzymujemy ostre granice własności:

Kontrolujesz reguły biznesowe, klasyfikację danych i ostateczny poziom ryzyka
Jesteśmy właścicielami bezpiecznych praktyk inżynieryjnych, środowisk projektowych i naszych pracowników.
Wspólne grupy robocze decydują o modelach dostępu, środowiskach i narzędziach innych firm.

Dzięki temu decyzje są przejrzyste i możliwe do prześledzenia, gdy projekt się rozrasta lub pojawia się więcej dostawców.

Bezpieczeństwo zaczyna się przed pierwszym żądaniem

Podpisywanie umów o zachowaniu poufności z pracownikami i wykonawcami w ramach wdrażania i rozpoczynania projektu.
Pisemne określenie zakresu dostępu, środowisk i kategorii danych
Zgodność z wewnętrznymi wymogami dotyczącymi bezpieczeństwa i prywatności, zasadami branżowymi i lokalnymi przepisami.

Takie środki pozwalają zachować wyraźne granice projektu i zmniejszają szansę na niespodziewane ścieżki dostępu w późniejszym czasie.

Jeden system dla projektów, biur i chmury

Firma Innowise stosuje system ISMS z certyfikatem ISO 27001, który obejmuje projektowanie, rozwój i utrzymanie oprogramowania, rozwiązań chmurowych i systemów informatycznych. Oznacza to, że:

Używamy jednego ujednoliconego zestawu zasad bezpieczeństwa i kontroli w różnych zespołach.
Przeglądy i audyty bezpieczeństwa dotyczą zarówno infrastruktury wewnętrznej, jak i projektów klientów.
Zmiany w standardach lub przepisach wpływają na nasze procedury, a nie tylko na pojedynczy projekt.

Nie otrzymujesz jednorazowej “bezpiecznej konfiguracji projektu”. Pracujesz z firmą, która każdego dnia stosuje procedury bezpieczeństwa.

Wspólna odpowiedzialność, wyraźna własność

Bezpieczeństwo jest współdzielone przez Innowise i Twój zespół, ale utrzymujemy ostre granice własności:

Kontrolujesz reguły biznesowe, klasyfikację danych i ostateczny poziom ryzyka
Jesteśmy właścicielami bezpiecznych praktyk inżynieryjnych, środowisk projektowych i naszych pracowników.
Wspólne grupy robocze decydują o modelach dostępu, środowiskach i narzędziach innych firm.

Dzięki temu decyzje są przejrzyste i możliwe do prześledzenia, gdy projekt się rozrasta lub pojawia się więcej dostawców.

Nasze ramy zarządzania bezpieczeństwem

Zarządzanie bezpieczeństwem w Innowise podzieliliśmy na cztery praktyczne filary.

01/04

Bezpieczne zarządzanie zasobami

Śledzimy, czego dotykamy i jak to traktujemy:

Inwentaryzacja wszystkich zasobów związanych z klientem: kodu, środowisk, magazynów danych, integracji.
Klasyfikacja danych i systemów według wrażliwości i wpływu na działalność biznesową
Rejestry ryzyka, które mapują zagrożenia, słabe punkty i planowane zabezpieczenia
Zasady cyklu życia danych dotyczące ich tworzenia, używania, przesyłania, archiwizowania i usuwania

Daje to konkretny obraz tego, gdzie znajdują się zasoby, kto z nich korzysta i jak je chronimy.

02/04

Bezpieczne środowisko

Tworzymy i obsługujemy środowiska projektowe i korporacyjne z warstwową ochroną:

Bezpieczeństwo sieci: VPN, segmentacja, bezpieczne bramy i monitorowanie ruchu
Bezpieczeństwo punktów końcowych: stacje robocze zarządzane przez firmę, szyfrowanie dysków, EDR/antywirus i zasady dotyczące urządzeń.
Bezpieczne środowiska deweloperskie i testowe: izolowane maszyny wirtualne lub kontenery, oddzielne środowiska dla deweloperów/testerów/stagingów/prod.
Przechowywanie haseł i sekretów: utwardzone sejfy na sekrety, bez udostępniania przez czat lub e-mail.
Zabezpieczenia fizyczne w lokalizacjach biurowych: strefy kontrolowanego dostępu, zasady dotyczące odwiedzających i nadzór w stosownych przypadkach.

W przypadku projektów o wysokiej wrażliwości możemy zorganizować dedykowane pokoje projektowe, odizolowane sieci i wzmocnione hosty skoków.

03/04

Bezpieczne operacje

Włączamy bezpieczeństwo operacyjne do codziennej pracy:

Silne uwierzytelnianie: uwierzytelnianie wieloskładnikowe w systemach korporacyjnych i kluczowych zasobach projektu
Zasada najmniejszych uprawnień: dostęp oparty na roli, zadaniu i czasie, a nie wygodzie.
Szyfrowanie: ochrona poufnych danych w spoczynku i podczas przesyłania za pomocą nowoczesnych standardów kryptograficznych.
Ciągłe monitorowanie: dzienniki z infrastruktury i narzędzi bezpieczeństwa, z alertami o podejrzanej aktywności.
Zarządzanie incydentami: udokumentowane podręczniki, zespoły reagowania i ścieżki komunikacji dla zdarzeń bezpieczeństwa

Zapewnia to ochronę operacyjną, a nie tylko listy kontrolne.

04/04

Świadomość i kultura bezpieczeństwa

Narzędzia i polityki zawodzą, jeśli ludzie nie wiedzą, jak z nich korzystać. Utrzymujemy bezpieczeństwo w codziennej rutynie pracy:

Wdrażanie bezpieczeństwa dla każdego nowego specjalisty, w tym podpisywanie umów o zachowaniu poufności i zasady dopuszczalnego użytkowania.
Regularne szkolenia wewnętrzne w zakresie bezpiecznego rozwoju, bezpiecznej konfiguracji, obsługi danych i inżynierii społecznej.
Sesje dla deweloperów, DevOps, testerów, menedżerów i personelu pomocniczego z podziałem na role
Wewnętrzne przeglądy i wywiady w celu sprawdzenia, czy ludzie stosują się do praktyk, a nie tylko zdają quizy e-learningowe.

Cel jest prosty: każdy specjalista rozumie, co oznacza “bezpieczne zachowanie” w jego roli i projekcie.

Bezpieczne zarządzanie zasobami

Bezpieczne środowisko

Bezpieczne operacje

Świadomość i kultura bezpieczeństwa

Zaufaj komuś, kto dba o twoje bezpieczeństwo

Dzięki Innowise bezpieczeństwo obejmuje każdy projekt i wydanie

Bezpieczeństwo na każdym etapie naszego cyklu rozwoju

1. Szkolenie i wdrożenie

Przed rozpoczęciem każdego projektu członkowie zespołu

Podpisywanie korporacyjnych umów o zachowaniu poufności i zasad korzystania z sieci
Dowiedz się, jak obsługujemy dane klientów, poświadczenia i środowiska
Otrzymanie szkolenia opartego na rolach w zakresie zasad bezpiecznego rozwoju i testowania.

Dzięki temu zespół, który dołącza do projektu, jest już nastawiony na bezpieczeństwo.

2. Rozpoczęcie projektu: ustalenie podstawy bezpieczeństwa

Podczas inicjacji, wraz z Twoim zespołem:

Przedstaw swoje obawy dotyczące bezpieczeństwa i prywatności w konkretny sposób
Uzgodnienie własności środowiska (klient, Innowise lub strona trzecia) i lokalizacji hostingu.
Określenie, które standardy i przepisy mają zastosowanie (na przykład RODO, HIPAA, PCI DSS, SOC 2, lokalne zasady bankowe).
Podejmowanie decyzji dotyczących narzędzi, frameworków i komponentów z uwzględnieniem ich dojrzałości, historii dostawców i historii poprawek.

Pod koniec inicjacji wiemy, czego możemy użyć, gdzie możemy to wdrożyć i których linii nie wolno nam przekraczać.

3. Wymagania bezpieczeństwa i projekt

Na etapie analizy i projektowania dokumentujemy, w jaki sposób bezpieczeństwo odwzorowuje zachowanie produktu:

Funkcjonalne i niefunkcjonalne wymagania bezpieczeństwa (autoryzacja, kontrola dostępu, audyt, przechowywanie danych)
Modele zagrożeń dla ważnych przepływów użytkowników i integracji
Diagramy przepływu danych z kontrolami bezpieczeństwa na każdym łączu
Zasady klasyfikacji danych i specjalne traktowanie pól wrażliwych (PII, PHI, dane finansowe)
Wymagania dotyczące rejestrowania, audytu i monitorowania na potrzeby późniejszego badania incydentów

Zmniejsza to prawdopodobieństwo, że funkcja przejdzie testy akceptacyjne, ale ujawni dane lub utworzy ukryte ścieżki ataku.

4. Planowanie: umieszczenie prac związanych z bezpieczeństwem na mapie drogowej

Zadania związane z bezpieczeństwem znajdują się w tym samym backlogu co funkcje, a nie w osobnym arkuszu kalkulacyjnym:

Działania związane z bezpieczeństwem powiązane z kamieniami milowymi i sprintami
Czas zarezerwowany na przeglądy kodu, analizę statyczną i testy bezpieczeństwa
Plany aktualizacji zależności, zadania wzmacniania i kontrola długu technicznego
Rejestr ryzyka i plan ograniczania ryzyka aktualizowane wraz z każdym nowym elementem zakresu.

Bezpieczeństwo staje się widoczne i możliwe do śledzenia, tak jak każda inna praca.

5. Bezpieczne wdrożenie i kontrola środowiska

Podczas rozwoju stosujemy powtarzalne praktyki, które pomagają zachować bezpieczeństwo kodu i środowisk:

Zatwierdzone stosy narzędzi i szablony konfiguracji do kompilacji, testowania i wdrażania.
Kontrola wersji z chronionymi gałęziami i sprawdzonymi pull requestami
Standardy kodowania obejmujące walidację danych wejściowych, obsługę błędów, uwierzytelnianie i kryptografię.
Statyczne testowanie bezpieczeństwa aplikacji (SAST) i skanowanie zależności w potokach CI/CD
Nadzór techniczny starszych inżynierów i specjalistów ds. bezpieczeństwa nad złożonymi zadaniami

Ograniczamy “heroiczne” ręczne kroki i polegamy na powtarzalnych przepływach pracy, które pozostawiają mniej luk.

6. Weryfikacja, dostawa i przekazanie

Przed wysyłką przeprowadzamy ostatnią rundę kontroli skoncentrowaną na bezpieczeństwie i ryzyku operacyjnym:

Końcowy przegląd kodu ze zwróceniem uwagi na pozostałości kodu testowego, nieużywane moduły i niebezpieczne skróty.
Potwierdzenie, że żadne sekrety, klucze ani hasła nie znajdują się w kodzie lub publicznych repozytoriach.
Oddzielna konfiguracja dla dev, test, staging i prod z ograniczonym dostępem do wrażliwych ustawień.
Testy bezpieczeństwa i testy penetracyjne, o ile pozwala na to zakres i budżet, z wykorzystaniem zespołów ds. cyberbezpieczeństwa Innowise.
Przekazanie dokumentacji bezpieczeństwa: modeli zagrożeń, schematów architektury, podręczników administratora i podręczników wykonawczych.

Gdy rozwiązanie zostanie uruchomione, otrzymasz zarówno produkt, jak i informacje potrzebne do jego uruchomienia i przeprowadzenia audytu.

7. Wsparcie po wydaniu i konserwacja zabezpieczeń

Bezpieczeństwo nie kończy się w momencie uruchomienia. Podczas wsparcia i ewolucji

Monitorowanie wydajności i zgłoszeń incydentów pod kątem oznak niewłaściwego użycia lub nienormalnego zachowania.
Śledzenie luk w zabezpieczeniach używanych bibliotek i platform
Zaplanuj aktualizacje zabezpieczeń i zadania wzmacniania zabezpieczeń w ramach regularnych wydań.
Uruchamiaj ponowne testy po większych zmianach, aby uniknąć regresji.

Dzięki temu system jest dostosowany do zmieniających się zagrożeń i aktualizacji platformy.

Jak chronimy dane i własność intelektualną użytkowników

Podejście oparte na NDA

Chronimy Twoje dane za pomocą umów o zachowaniu poufności podpisanych przez wszystkich pracowników i warunków specyficznych dla projektu. Zachowujesz prawo własności do wszystkich udostępnionych nam informacji, projektów i kodu.

Kontrola dostępu i segregacja

Dostęp jest oparty na rolach i regularnie sprawdzany, z oddzielnymi repozytoriami dla każdego projektu. Poświadczenia są bezpiecznie przechowywane, a udostępnianie ich za pośrednictwem niezabezpieczonych kanałów jest zabronione.

Cykl życia i usuwanie danych

Utrzymujemy jasne zasady przechowywania danych i zapewniamy ich bezpieczne usunięcie lub zwrot po zakończeniu projektu. Zawsze będziesz wiedzieć, jakie dane pozostają i gdzie są przechowywane.

Jak mierzymy bezpieczeństwo

Polegamy na mierzalnych wskaźnikach, a nie na intuicji.

Metryki modelowania zagrożeń

Liczba modeli zagrożeń na system lub zestaw funkcji
Liczba zidentyfikowanych zagrożeń i ich dotkliwość
Czas zająć się poważnymi zagrożeniami
Przegląd częstotliwości modeli zagrożeń po zmianie architektury

Kod i metryki inżynieryjne

Udział kodu objętego przeglądem i analizą statyczną
Liczba luk w zabezpieczeniach i czas potrzebny na ich załatanie
Naruszenia wytycznych dotyczących bezpiecznego kodowania wychwycone w CI/CD
Pozycje długu technicznego związane z bezpieczeństwem i ich tendencje w czasie

Metryki testów i incydentów

Ilość i dotkliwość wyników testów penetracyjnych i skanowania luk w zabezpieczeniach
Czas od wykrycia do usunięcia błędów bezpieczeństwa wysokiego ryzyka
Liczba incydentów bezpieczeństwa według typu i przyczyny źródłowej
Średni czas do wykrycia (MTTD) i średni czas do odzyskania (MTTR) dla zdarzeń bezpieczeństwa

Ludzie i wskaźniki świadomości

Wskaźniki ukończenia obowiązkowych kursów bezpieczeństwa
Wyniki kontroli wiedzy i symulacji (na przykład kampanii phishingowych)
Liczba sugestii lub raportów dotyczących bezpieczeństwa pochodzących od zespołów projektowych

Liczby te pomagają nam wcześnie wykryć słabe punkty i skupić się na obszarach, które wymagają uwagi.

Potrzebujesz dostawcy, który traktuje Twoje bezpieczeństwo jak swoje własne?

Dzięki Innowise bezpieczeństwo jest widoczne w każdym dokumencie projektu, w każdym środowisku i w każdym wdrożeniu.

Co klienci zyskują dzięki naszemu zarządzaniu bezpieczeństwem

Cała ta struktura i praktyka ma na celu osiągnięcie praktycznych rezultatów.

Bezpieczniejsza dostawa z mniejszą liczbą niespodzianek

Bezpieczeństwo jest uwzględniane od samego początku, a nie w momencie uruchomienia. Wcześnie sygnalizujemy ryzykowne skróty i zapewniamy, że dostęp, przepływy danych i środowiska mają jasną własność i dokumentację.

Mniejsze obciążenie zespołu związane z bezpieczeństwem

Twój zespół unika mikrozarządzania podstawami bezpieczeństwa. Zarządzamy wdrażaniem, kontrolą dostępu i narzędziami, a także zapewniamy specjalistyczne testy bezpieczeństwa i szczegółową dokumentację na potrzeby audytów.

Silniejsze podstawy dla audytów i organów regulacyjnych

Bezpieczeństwo jest wbudowane w certyfikowane procesy, zapewniając przejrzystą dokumentację zgodną z normą ISO 27001. Można łatwo prześledzić decyzje dotyczące dostępu, środowisk i kontroli.

Skontaktuj się z nami

Umów się na rozmowę lub wypełnij poniższy formularz, a my odezwiemy się do Ciebie po przetworzeniu Twojego zgłoszenia.

Nazwa

Firma

E-mail

Telefon

Wiadomość

Wyślij nam wiadomość głosową

Załącz dokumenty

Prześlij plik

Można załączyć 1 plik o rozmiarze do 2 MB. Prawidłowe formaty plików: pdf, jpg, jpeg, png.

Klikając "Wyślij", wyrażasz zgodę na przetwarzanie Twoich danych osobowych przez Innowise zgodnie z naszą Polityką Prywatności w celu przekazania Ci odpowiednich informacji. Podając numer telefonu, zgadzasz się na kontakt za pośrednictwem połączeń głosowych, SMS-ów lub komunikatorów. Mogą obowiązywać opłaty za połączenia, wiadomości i transmisję danych.

Możesz także wysłać swoje zapytanie
do contact@innowise.com

Co dalej?

Po otrzymaniu i przetworzeniu zgłoszenia skontaktujemy się z Tobą, aby szczegółowo opisać projekt i podpisać umowę NDA w celu zapewnienia poufności.

Po zapoznaniu się z Twoimi potrzebami i oczekiwaniami, nasz zespół opracuje projekt wraz z zakresem prac, wielkością zespołu, czasem i szacunkowymi kosztami.

Zorganizujemy spotkanie w celu omówienia oferty i ustalenia szczegółów.

Na koniec podpiszemy umowę, błyskawicznie rozpoczynając pracę nad projektem.