Certyfikaty bezpieczeństwa i zgodności

Dlaczego go potrzebujesz?

Certyfikaty i certyfikaty potwierdzają dojrzałe praktyki bezpieczeństwa i skracają cykl należytej staranności, otwierając dostęp do rynków regulowanych i partnerów. Kluczem nie jest „jednorazowe przejście audytu”, ale budowa ciągłego systemu sterowania z wymiernymi punktami sterowania.

Mapa krajobrazu (co wybrać i kiedy)

ISO/IEC 27001 - System zarządzania bezpieczeństwem informacji (ISMS). Uniwersalny „szkielet” procesów.

Dodatki: ISO 27017 (chmura), 27018 (prywatność w chmurze), 27701 (PIMS, prywatność), 22301 (BCMS, zrównoważony rozwój).
SOC 2 (AICPA): typ I (projekt daty) i typ II (projekt + wydajność operacyjna na okres, zwykle 3-12 miesięcy). Kryteria usług zaufania: bezpieczeństwo, dostępność, integralność przetwarzania, poufność, prywatność.
PCI DSS (do przetwarzania kart): poziomy według wolumenu transakcji, ROC/AOC z udziałem QSA, kwartalnych skanów ASV, pentestów i segmentacji strefy CHD.
CSA STAR (poziom 1-3): deklaracja/audyt dla dostawców i usług w chmurze.
Dodatkowo według domen: ISO 20000 (ITSM), ISO 31000 (zarządzanie ryzykiem), ISO 37001 (anty-przekupstwo), TISAX/ISAE 3402 (przemysł/finanse).
RODO/prywatność: nie istnieje „certyfikat RODO” jako taki; stosować ISO 27701 i niezależne oceny/kodeksy postępowania.

💡 Reguła wyboru: B2B SaaS/fintech → ISO 27001 + SOC 2 Typ II; Strumienie płatności/karty → PCI DSS Bliska współpraca z PII → 27701 cloud focus → 27017/27018/CSA STAR.

Certyfikacja vs certyfikacja

Certyfikacja (ISO): jednostka akredytowana wydaje 3-letni certyfikat z rocznymi audytami nadzorczymi.
Ocena (SOC 2): niezależny audytor wydaje sprawozdanie (opinię) za dany okres; dostarczasz dokument klientom w ramach NDA.
PCI DSS: potwierdzone przez ROC (raport o zgodności) i AOC (poświadczenie zgodności) lub SAQ dla mniejszych tomów.

Zakres: jak nakreślić granice

1. Aktywa i procesy: produkty, środowiska (prod/stage), regiony, klasy danych (PII/finance/maps).
2. Architektura techniczna: cloud, VPC/VNet, Kubernetes, CI/CD, secret management, DWH/analytics.
3. Strefy organizacyjne: biura/zdalne, wykonawcy, wsparcie outsourcingowe.
4. Osoby trzecie: PSP, dostawcy treści, KYC/AML, chmury - model współodpowiedzialności.
5. Wyjątki: określić powody wykraczające poza zakres i środki wyrównawcze.

Plan działania do „pierwszej odznaki”

1. Analiza luk w porównaniu z celami (27001/SOC 2/PCI).
2. Zarządzanie ryzykiem: metodologia, rejestr ryzyka, plan przetwarzania, deklaracja stosowania (ISO).
3. Polityka i role: bezpieczeństwo informacji/polityka prywatności, klasyfikacja danych, dostęp (IAM), rejestrowanie, odpowiedź, BCM/DR.
4. Sterowanie techniczne: szyfrowanie, sieci (WAF/WAAP, DDoS), luki/łatki, bezpieczne SDLC, kopie zapasowe, monitorowanie.
5. Podstawa dowodowa: przepisy, czasopisma, zrzuty ekranu, przesyłki, bilety - przechowujemy w wersji.
6. Audyt wewnętrzny/ocena gotowości.
7. Audyt zewnętrzny: etap 1 (przegląd dokowania) → etap 2 (wydajność/próbki). Dla SOC 2 typ II - „okres obserwacji”.
8. Nadzór/Utrzymanie: kwartalne przeglądy kontroli, roczne audyty nadzorcze, roczna aktualizacja SOC 2.

Matryca dopasowywania kontroli (fragment przykładu)

Domeny	ISO 27001 załącznik A	SOC 2 TSC	PWZ DSS	Typ inspekcji/artefakt
Zarządzanie dostępem	A.5, A.9	CC6. x	7, 8	RBAC/ABAC, JML, logi SCIM, prawa rewizji
Encyfingowanie	A.8	CC6. 1, CC6. 7	3	KMS/HSM, TLS 1. 2 +/mTLS, kluczowe polityki
Luki/łatki	A.12, A.14	CC7. x	6, 11. 3	Skany, MTTP, raporty Pentest, ASV
Dzienniki/monitorowanie	A.5, A.8, A.12	CC7. x	10	SIEM/SOC, zatrzymywanie, wpisy i RCA
BCM/DR	A.5, A.17	A1. x	12	22301-plany, wyniki badań DR

Co audytor pokaże (typowe zapytania)

Dostęp: raporty z IdP/IAM, dzienniki JML, przegląd przywilejów.
Tajemnice: polityka KMS/Skarbiec, historia rotacji.
Skanowanie wrażliwości: najnowsze raporty, bilety naprawcze, terminy MTTP.
Dzienniki/wpisy: przypadki incydentów, MTTD/MTTR, pośmiertne.
Dostawcy: rejestr, DPIA/DTIA (jeżeli PII), środki umowne, oceny ryzyka.
Szkolenia i testy: symulacje phishingowe, szkolenia w zakresie bezpieczeństwa informacji, potwierdzenia.
BC/DR: Wyniki najnowszych ćwiczeń, RTO/RPO fakty.

Ciągła zgodność

Kod polityki: OPA/Gatekeeper/Kyverno dla Depleys; „Egzekwuj” na krytycznych zasadach.
Monitoring ciągły (CCM): sprawdza co N minut/godzinę (szyfrowanie wiader, otwarte porty, pokrycie MFA).
System GRC: rejestr kontroli, właściciele, zadania i terminy, wiążące wskaźniki.
Pojedynczy ośrodek artefaktowy: „dowód” jest wersjonowany i oznaczony punktem kontrolnym.
Automatyczna generacja raportów: SoA, rejestr ryzyka, skuteczność kontroli, KPI/SLO przez kontrole.

Wskaźniki zgodności i SLO

Zasięg:% kontroli z automatyczną weryfikacją,% aktywów w zakresie.
Czas odpowiedzi: p95 zamknięcie wniosków o audyt ≤ 5 dni roboczych.
Niezawodność: „kontrola nie w strefie zielonej” ≤ 1% czasu miesięcznie.
Luki: MTTP P1 ≤ 48 godzin, P2 ≤ 7 dni; rekultywacja pentestu ≤ 30 dni.

Szkolenie w zakresie bezpieczeństwa informacji: zasięg personelu ≥ 98%, częstotliwość 12 miesięcy

Specyficzne dla chmur i kubernetów

Chmura: inwentaryzacja zasobów (IaC), szyfrowanie dysku/kanału, rejestrowanie (logi CloudTrail/Activity), minimalne role. Wykorzystaj raporty certyfikacyjne dostawcy (SOC 2, ISO, PCI) jako część ochrony „legacy”.
Kubernetes: RBAC według obszaru nazw, Zasady przyjmowania (podpisy obrazu/SBOM, zakaz ': najnowsze'), zasady sieci, sekrety poza etcd (KMS), audyt serwera API, profile skanowania obrazów/klastrów.
Sieci i obwód: WAF/WAAP, DDoS, segmentacja, ZTNA zamiast „szerokiej” sieci VPN.

PCI DSS (Refinansowanie nośników płatności)

segmentacja strefy CHD: minimalne systemy w klastrze; mTLS do PSP; webhaki - z HMAC.
Kwartalne skany ASV i roczne pentesty (w tym segmentacja).
Dzienniki i integralność: FIM, dzienniki niezmienne, czas pod uszczelnieniem (NTP).
Dokumenty: Zasady, Wykresy przepływu mapy, AOC/ROC, procedury incydentów.

Prywatność (podejście ISO 27701 + RODO)

Role: administrator/procesor, rejestr przetwarzania, podstawy prawne.
DPIA/DTIA: ocena ryzyka związanego z prywatnością i transmisją transgraniczną.
Prawa uczestników: SLA dla odpowiedzi, techniczne środki wyszukiwania/usuwania.
Minimalizacja/pseudonimizacja: wzory architektoniczne i DLP.

Artefakty (gotowe szablony - co trzymać pod ręką)

Deklaracja stosowania (SoA) z motywacją włączenia/wykluczenia z załącznika A.
Matryca sterownicza (ISO ا SOC2 اPCI) z właścicielami i dowodami.
Rejestr ryzyka z metodyką (wpływ/prawdopodobieństwo) i planem przetwarzania.
Plany BC/DR + protokoły ostatnich ćwiczeń.
Bezpieczny pakiet SDLC: listy kontrolne, raporty SAST/DAST, zasady wdrażania.
Należyta staranność dostawcy: kwestionariusze (SIG Lite/CAIQ), oceny ryzyka, środki umowne.

Częste błędy

Audyt dla dobra audytu: brak procesów na żywo, tylko foldery zasad.
Zbyt szeroki zakres: staje się droższy i komplikuje utrzymanie; zacząć od „rdzenia wartości”.
Ręczne gromadzenie dowodów: wysoki dług operacyjny; zautomatyzować CCM i przesyłanie.
Sterowanie bez mierników: nie można zarządzać (brak SLO/właścicieli).
Zapomniany system po certyfikacji: brak kwartalnych kontroli → niespodzianki w zakresie nadzoru.
Wykonawcy poza pętlą: osoby trzecie stają się źródłem incydentów i „czerwoną kartą” w audycie.

Lista kontrolna gotowości (skrócona)

Zakres, aktywa, właściciele zdefiniowane; mapa danych i przepływów.
Rejestr ryzyka, SoA (dla ISO), kryteria usług zaufania (dla SOC 2) rozłożone na kontrole.
Polityki, procedury, szkolenia personelu są realizowane i aktualne.
Urządzenia sterujące są zautomatyzowane (CCM), podłączone są deski rozdzielcze i wpisy.
Dowody dotyczące każdej kontroli są gromadzone/weryfikowane.
Audyt wewnętrzny przeprowadzony/gotowość; krytyczne przerwy są eliminowane.
Wyznaczony audytor/organ, uzgodniony okres obserwacji (SOC 2) lub plan etap 1/2 (ISO).
Na miejscu pentest/ASV (PCI), plan rekultywacji i potwierdzenie poprawek.

Mini szablony

Polityka metryczna dotycząca kontroli (przykład)

Kontrola: „Wszystkie wiadra PII są szyfrowane KMS”.
SLI:% wiader z włączonym szyfrowaniem.
Przeznaczenie: ≥ 99. 9%.
Uwaga: podczas spadania <99. 9% ponad 15 minut → P2, właściciel - Szef Platformy.

Dziennik dowodów (fragment)

Kontrola	Dowód	Częstość występowania	Przechowywanie	Odpowiedzialny
Rejestrowanie dostępu do PII	Eksport SIEM w 90 dni	Miesięcznie	GRC/Evidence Hub	Ołów SOC
Rotacja tajemnic	Dziennik audytu skarbca + bilet na zmianę	Co tydzień	GRC	DevOps Lead

iGaming/specyficzne dla fintechu

Domeny wysokiego ryzyka: płatności/płatności, przeciwdziałanie oszustwom, backhoe, integracja partnerów - priorytet w zarządzaniu i kontrolach.
Metryki biznesowe: Time-to-Wallet, reg → konwersja depozit - rozważyć wpływ zabezpieczeń i audytów.
Regionalność: wymogi UE/LATAM/Azja - rozliczanie transmisji transgranicznych, lokalne organy regulacyjne.
Dostawcy/dostawcy treści: obowiązkowa należyta staranność, mTLS/HMAC, dodatki prawne dotyczące danych.

Razem

Certyfikaty są konsekwencją dyscypliny i automatyzacji: zarządzania ryzykiem, polityki życia, wymiernych kontroli i bieżącej gotowości. Wybierz odpowiedni zestaw (ISO 27001/27701/22301, SOC 2 Typ II, PCI DSS, CSA STAR), zarys zakresu, automatyczne kontrole (CCM/Policy-as-Code), zachować artefakty w porządku i zmierzyć SLO - w ten sposób zgodność stanie się przewidywalna i wspierać wzrost produktu, a nie hamulec na nim.