Partner w budowie cyber-odporności organizacji

Nie prowadzimy monitoringu bezpieczeństwa w trybie całodobowym ani nie operujemy zarządzanym SOC czy usługą MDR — pomagamy wybrać dostawcę i nadzorować współpracę z nim. Nie reagujemy na incydenty ani nie prowadzimy analizy powłamaniowej; piszemy natomiast procedury zgłaszania i zarządzania incydentami. Nie wykonujemy celowanych testów penetracyjnych — koordynujemy je i zlecamy wyspecjalizowanemu podmiotowi. Nie jesteśmy też jednostką certyfikującą: przygotowujemy organizację do audytu i certyfikacji.

Przede wszystkim z ustawą o krajowym systemie cyberbezpieczeństwa (UKSC, wdrażającą w Polsce dyrektywę NIS2), rozporządzeniem DORA dla sektora finansowego oraz AI Act. Pracujemy również z normami ISO/IEC 27001 i ISO 22301 oraz standardem PCI-DSS. Zakres sprowadzamy do wspólnego zestawu kontroli, żeby jedna praca odpowiadała na kilka wymogów naraz.

Dla firm objętych regulacjami bezpośrednio oraz pośrednio — jako dostawcy w łańcuchu, od których klienci wymagają określonego poziomu bezpieczeństwa. Wspieramy też organizacje budujące lub porządkujące funkcję bezpieczeństwa i te, które potrzebują pomocy w doborze i wdrożeniu zabezpieczeń, ale nie zatrudniają własnego CISO. Zakres skalujemy do wielkości i dojrzałości organizacji.

Zaczynamy od bezpłatnej konsultacji lub wstępnej oceny zgodności, która pokazuje stan wyjściowy i priorytety. Dalej pracujemy projektowo — konkretny zakres w ustalonym czasie — albo w modelu współpracy ciągłej (retainer), typowym dla vCISO. Po rozmowie i, jeśli to zasadne, krótkiej analizie przedstawiamy przejrzystą ofertę dopasowaną do zakresu, bez ukrytych kosztów.

Nie sprzedajemy ani nie odsprzedajemy licencji, więc rekomendacja narzędzia nie jest u nas decyzją handlową. Dobieramy rozwiązanie do ryzyka i skali organizacji, wdrażamy je, stroimy i przekazujemy zespołowi klienta. Ta niezależność jest powodem, dla którego klienci proszą nas również o nadzór nad dostawcami zewnętrznymi.