Baza wiedzy

Zaktualizowano: 13 października 2026 Czym jest skuteczny program security awareness? Program security awareness to zestaw działań edukacyjnych i behawioralnych mający na celu zmianę postaw i zachowań pracowników w zakresie bezpieczeństwa informacji – w taki sposób, żeby byli w stanie rozpoznawać i właściwie reagować na zagrożenia takie jak phishing, social engineering i insider threat. Verizon DBIR […]

Czytaj dalej →

Aktualizacja: 5 października 2026 Na czym polega bezpieczeństwo platformy SaaS i dlaczego wycieki z Fakturowni, MyDr i Medyc powinny zaniepokoić zarząd każdej firmy, która sprzedaje oprogramowanie w chmurze? Bezpieczna platforma SaaS to taka, w której dane klientów są od siebie odseparowane, klucze i tokeny dobrze chronione, a próba wyniesienia danych zostaje zauważona, zanim będzie za […]

Czytaj dalej →

Dla kogo jest Cyber Essentials, a dla kogo CE Plus? Cyber Essentials jest dla każdej organizacji szukającej sprawdzonego fundamentu higieny bezpieczeństwa, a Cyber Essentials Plus – tam, gdzie klient, partner lub kontrakt wymaga niezależnego dowodu z testu, nie samej deklaracji. Oba poziomy obejmują te same pięć kontroli, które w dużej mierze pokrywają się z wymaganiami […]

Czytaj dalej →

Jak przygotować dobrą sesję phishingową? Dobra sesja phishingowa zaczyna się od jasnego celu edukacyjnego, a nie od chęci „złapania” pracowników. Buduje się ją wokół realistycznego, ale etycznego scenariusza, mierzy bezpiecznie i z poszanowaniem prywatności, a kluczową wartość dostarcza w momencie kliknięcia – natychmiastową, wolną od zawstydzania nauką. Definicja kanoniczna: Sesja phishingowa (symulacja phishingu) to kontrolowane […]

Czytaj dalej →

Zaktualizowano: 1 października 2026 Czym różni się skan podatności od testu penetracyjnego? Skan podatności to zautomatyzowany proces identyfikacji znanych słabości w systemach – otwartych portów, przestarzałych wersji oprogramowania z opisanymi CVE, błędnych konfiguracji. Skan mówi: „Ten serwer Apache 2.4.51 ma CVE-2021-41773 z CVSS 9.8.” Test penetracyjny (pentest) to manualny, ekspertem prowadzony atak na system, który […]

Czytaj dalej →

Kim jest dostawca TLPT? Dostawca TLPT to zewnętrzny podmiot, któremu instytucja finansowa powierza jedną z dwóch ról w teście penetracyjnym pod kątem wyszukiwania zagrożeń: analizę zagrożeń (threat intelligence) lub testowanie red team. Rozporządzenie DORA i RTS 2025/1190 określają minimalne wymogi wobec obu ról, a control team musi udokumentować ich spełnienie i przedstawić dowody organowi ds. […]

Czytaj dalej →

Jak przebiega TLPT krok po kroku? Test penetracyjny pod kątem wyszukiwania zagrożeń (TLPT) to sekwencja działań, w której instytucja finansowa powołuje control team, ocenia ryzyko testu na produkcji, zleca zewnętrzną analizę zagrożeń, przechodzi co najmniej 12 tygodni aktywnego red teamingu, a następnie odtwarza atak z zespołem obrony, składa sprawozdanie organowi ds. TLPT (w Polsce KNF) […]

Czytaj dalej →

Czym jest TLPT pod DORA? TLPT (Threat-Led Penetration Testing) to zaawansowany test bezpieczeństwa wymagany przez rozporządzenie DORA od wyznaczonych podmiotów finansowych: banków, dużych instytucji płatniczych, ubezpieczycieli, CCP i CSD. Zespół testerów odtwarza działania realnych grup przestępczych na działających systemach produkcyjnych, a cały proces nadzoruje organ ds. TLPT – w Polsce Komisja Nadzoru Finansowego. Test trzeba […]

Czytaj dalej →

Dlaczego PCI Secure SLC to przewaga konkurencyjna dla software house? Status Secure SLC Qualified Vendor to niezależnie zwalidowany dowód, że proces wytwórczy software house’u spełnia silne praktyki bezpieczeństwa – co skraca cykle sprzedaży, otwiera rynek klientów płatniczych i buduje fundament wyprzedzający obowiązki unijnego CRA. To zamiana kosztu zgodności w argument handlowy. Definicja kanoniczna: Secure SLC […]

Czytaj dalej →

Co powinien zawierać raport z testów BCM? Raport z testów ciągłości działania powinien udokumentować, co testowano, jak i z jakim wynikiem – a przede wszystkim porównać osiągnięte RTO i RPO z założonymi. Musi obejmować zakres i scenariusz testu, uczestników, wyniki względem celów odtworzeniowych, wykryte luki oraz plan działań naprawczych z przypisaną odpowiedzialnością i terminami. Definicja […]

Czytaj dalej →

Jak skanowanie ASV ma się do testów wymaganych przez DORA i NIS2? Skanowanie ASV to wąski, ściśle zdefiniowany kwartalny skan podatności systemów dostępnych z internetu na potrzeby PCI DSS. DORA i NIS2 wymagają szerszego testowania bezpieczeństwa i zarządzania podatnościami, ale skan ASV realnie wpisuje się w te reżimy jako jeden z elementów – a praktyka […]

Czytaj dalej →

Co musi wiedzieć dostawca SDK o certyfikacji PCI SSF v2.0? Dostawca SDK walidowanego według PCI Secure Software Standard v2.0 (opublikowanego 15 sty 2026) zaczyna nie od listy kontroli, lecz od identyfikacji aktywów wrażliwych swojego komponentu – kluczy, danych uwierzytelniających, logiki bezpieczeństwa i samego kodu krytycznego – wspieranej nowym dokumentem SAID. To zmienia kolejność i priorytety […]

Czytaj dalej →