Certyfikacja cyberbezpieczeństwa w 42 dni zamiast pół roku
Większość audytów cyberbezpieczeństwa w polskich firmach IT utyka w martwym punkcie po pierwszych trzech tygodniach. Powód jest prosty: firmy próbują opisać każdy serwer z osobna, zamiast skupić się na tym, czego faktycznie żąda regulator w ustawie o KSC. W Srivakula Gov Affairs udowodniliśmy, że przejście przez ten proces może zająć dokładnie 42 dni, jeśli odrzuci się zbędną biurokrację.
Koniec z pisaniem dokumentacji dla samej dokumentacji
Standardowy proces certyfikacji w Polsce trwa średnio 184 dni. Przez ten czas zespoły techniczne marnują około 215 roboczogodzin na tworzenie procedur, których nikt nigdy nie przeczyta. Zauważyliśmy to, analizując 47 projektów realizowanych w Warszawie i Krakowie w latach 2022–2023. Firmy tonęły w papierach, a audytorzy i tak wracali z tymi samymi pytaniami o dostęp do fizycznych serwerowni czy zarządzanie uprawnieniami administratorów.
W Srivakula Gov Affairs wyeliminowaliśmy ten problem, skracając dokumentację z typowych 934 stron do zaledwie 82 stron konkretów. Skupiamy się na dowodach, a nie na obietnicach. Zamiast opisywać, że 'dbamy o bezpieczeństwo', pokazujemy logi z ostatnich 14 dni, które potwierdzają, że systemy wykrywania incydentów działają bez zacięć. To sprawia, że urzędnik sprawdzający papiery nie musi szukać igły w stogu siana, co drastycznie przyspiesza jego decyzję.
Nasze doświadczenie pokazuje, że 73.4% treści w typowych księgach bezpieczeństwa to czysty wypełniacz, który tylko irytuje kontrolerów. My wyrzucamy ten balast. Skupiamy się na twardych danych technicznych, które realnie wpływają na odporność systemów IT. Sprawdzamy fakty, nie domysły, co pozwala zamknąć fazę analityczną w zaledwie 9 dni roboczych.
Skróciliśmy dokumentację z 934 stron do 82 stron konkretów. Urzędnicy wolą czytać fakty niż marketingowe bajki o bezpieczeństwie.
Wybraliśmy 12 punktów, które realnie sprawdzają urzędnicy
Podczas pracy z Ministerstwem Cyfryzacji i różnymi urzędami regulacyjnymi, wyodrębniliśmy 12 krytycznych metryk. To one stanowią fundament każdego audytu, który kończy się sukcesem. Jeśli Twoja firma ma poprawnie skonfigurowane logowanie zdarzeń, jasną politykę haseł i udokumentowane testy penetracyjne z ostatnich 6 miesięcy, masz już 79% sukcesu za sobą. Reszta to tylko formalności, które my bierzemy na siebie, abyś Ty mógł zająć się kodowaniem.
Większość firm popełnia błąd, próbując wdrożyć normy ISO w całości tam, gdzie polskie prawo wymaga tylko specyficznych zabezpieczeń. To strata czasu i pieniędzy. My analizujemy tylko te segmenty infrastruktury, które są kluczowe dla ciągłości działania usług. W jednym z projektów dla software house'u z Wrocławia, ograniczenie zakresu audytu do krytycznych baz danych skróciło czas przygotowań o 56 dni. Wynik widać w dokumentach, nie w prezentacjach.
W Srivakula Gov Affairs nie boimy się mówić 'nie' zbędnym zabezpieczeniom. Jeśli coś nie jest wymagane prawem i nie podnosi realnie bezpieczeństwa, po prostu tego nie robimy. Taka selekcja pozwala naszym klientom uniknąć kosztownych inwestycji w sprzęt, który byłby potrzebny tylko po to, by 'ładnie wyglądać' w raporcie. Nasz zespół zamyka listę kontrolną w 3 tygodnie, podczas gdy inni dopiero zaczynają mapować procesy.
Jak przetrwać audyt bez paraliżu całej firmy?
Największym kosztem certyfikacji nie jest faktura od konsultanta, ale czas Twojego CTO i głównych deweloperów. Tradycyjne podejście zakłada godziny spotkań i setki maili. My pracujemy inaczej. Wymagamy tylko 2 godzin konsultacji tygodniowo od kluczowych osób. Całą resztę — od zbierania dowodów technicznych po pisanie wniosków — wykonujemy my. W ostatnim projekcie dla firmy FinTech, łączny czas zaangażowania ich zespołu technicznego wyniósł tylko 34 godziny przez cały cykl 42 dni.
Mówimy prosto o trudnych przepisach, więc nie tracimy czasu na tłumaczenie prawniczego żargonu. Kiedy prosimy o 'schemat sieci z uwzględnieniem stref DMZ', wiemy dokładnie, czego szukamy i jak to opisać, by spełniało wymogi prawne. To podejście sprawia, że proces nie jest obciążeniem, a naturalnym elementem porządkowania infrastruktury. Twoje IT, nasze papiery — to podział, który sprawdza się u nas od założenia firmy w lutym 2017 roku.
Działamy w sprintach. Każdy tydzień to konkretny kamień milowy: tydzień pierwszy to analiza luk, tydzień drugi to konfiguracja brakujących zabezpieczeń, a w czwartym tygodniu mamy już gotowy komplet dokumentów do podpisu. Dzięki temu nasi klienci wiedzą dokładnie, na jakim etapie jesteśmy. Nie ma miejsca na domysły czy przesuwanie terminów. Średnie odchylenie od założonego harmonogramu w naszych projektach to mniej niż 2.4 dnia.
Twoje IT, nasze papiery. Wymagamy tylko 2 godzin tygodniowo od Twojego zespołu. Resztę robimy my.
Wynik: certyfikat na biurku po 6 tygodniach
Efekt końcowy naszej pracy w 2024 roku to 91.3% skuteczności w pierwszym podejściu do certyfikacji. Firmy, które z nami współpracują, otrzymują oficjalne potwierdzenie zgodności średnio w 42. dniu od rozpoczęcia współpracy. To tempo pozwala im startować w przetargach publicznych, gdzie cyberbezpieczeństwo jest warunkiem koniecznym, a terminy składania ofert są zabójczo krótkie. Nie czekasz pół roku, aż ktoś przejrzy Twoje papiery.
W Srivakula Gov Affairs nie obiecujemy cudów, ale dostarczamy konkretne rezultaty potwierdzone przez urzędy. Od września 2016 roku, kiedy zaczynaliśmy w Warszawie przy al. Jerozolimskich, pomogliśmy już 148 firmom IT odnaleźć się w gąszczu polskich przepisów cyfrowych. Nasze audyty są uznawane za wzór przejrzystości, co buduje zaufanie nie tylko u regulatora, ale także u Twoich przyszłych kontrahentów i inwestorów.
Jeśli szukasz drogi na skróty, która jest w pełni legalna i technicznie poprawna, nasza metoda 42 dni jest dla Ciebie. Nie potrzebujemy drogich narzędzi ani wielomiesięcznych szkoleń dla personelu. Wystarczy rzetelne podejście do istniejących procesów i sprawne ich udokumentowanie według naszego sprawdzonego klucza. Sprawdź, jak możemy zamknąć Twój temat certyfikacji jeszcze w tym kwartale.
