Notatki o tym, jak budujemy compliance który nie udaje.
Nie newsletter. Nie content marketing. Tylko to czego sami uczyliśmy się po drodze, i co warto żeby ktoś wiedział wcześniej.
Analiza luk (gap analysis) ISO 27001, DORA i NIS2. Darmowe narzędzie i jak z niego mądrze skorzystać.
No to oddajemy trzy darmowe narzędzia do analizy luk: ISO 27001, DORA i NIS2. Kwadrans pytań, wynik od ręki i raport z dziesięcioma lukami, od których warto zacząć.
Czytaj →Aneks DORA z art. 30. 12 klauzul, które podpiszesz jako dostawca ICT
Bank przysłał aneks DORA do umowy? Rozkładamy art. 30 rozporządzenia 2022/2554 na 12 klauzul, które w nim znajdziesz, i podpowiadamy, co jest do negocjacji, a co trzeba mieć gotowe przed podpisem.
Czytaj →Bank przysłał ankietę DORA: co musisz mieć
Ankieta DORA od banku i aneks z art. 30 na biurku, termin za dwa tygodnie? Rozkładamy, czego bank wymaga od dostawcy ICT, na jakie przepisy się powołuje, co odpowiedzieć i jakie dokumenty musisz mieć.
Czytaj →AI Act. Obowiązki, kary i co polska firma musi zrobić.
No to o regulacji, którą wiele firm wciąż traktuje jak science fiction. A kary za zakazane praktyki są egzekwowalne od lutego 2025. Realnie, nie kiedyś.
Czytaj →Analiza ryzyka wg ISO 27005. Krok po kroku, bez excelowego horroru.
No to bierzemy na warsztat fundament całego bezpieczeństwa. Analiza ryzyka brzmi groźnie, a sprowadza się do trzech pytań: co może się stać, jak bardzo by bolało i co z tym robimy.
Czytaj →Ciągłość działania (BCMS). ISO 22301 od czego zacząć.
No to o czymś, o czym wszyscy myślą dopiero po awarii. Plan ciągłości działania nie jest grubym segregatorem, tylko odpowiedzią na jedno pytanie: co robimy, gdy padnie.
Czytaj →Ile kosztuje wdrożenie DORA i NIS2. Uczciwie, bez ściemy.
No to pytanie za milion: ile to kosztuje. Każdy konsultant odpowie 'zależy' i ucieknie. My rozbijemy 'zależy' na konkretne pozycje.
Czytaj →Rejestr czynności przetwarzania (RCP). Jak zrobić i co musi zawierać.
No to bierzemy na warsztat dokument, który UODO sprawdza jako pierwszy. RCP nie jest trudny, jest tylko nudny, jak się go robi ręcznie.
Czytaj →SDLC. Bezpieczne wytwarzanie oprogramowania bez teatru.
No to o czymś, co w wielu firmach jest skansenem: bezpieczeństwo doklejane na końcu, tuż przed releasem. SDLC robi to odwrotnie i właśnie dlatego działa.
Czytaj →Umowa powierzenia przetwarzania. Wzór, Art. 28 i pułapki.
No to o dokumencie, który większość firm podpisuje w ciemno, bo dostawca przysłał swój. A to właśnie tam siedzą najczęstsze dziury RODO w łańcuchu.
Czytaj →ISO 27001 krok po kroku. Ile trwa, ile kosztuje, od czego zacząć.
No to demitologizujemy ISO 27001. Nie certyfikat na ścianę, tylko system, który ma realnie działać. I tak, da się to ogarnąć bez paniki.
Czytaj →DPIA krok po kroku. Kiedy jest wymagana i jak ją zrobić.
Połowa firm robi DPIA na wyrost, druga połowa wcale. No i obie grupy mają problem, tylko inny.
Czytaj →NIS2 i KSC 2.0. Kogo dotyczy i co realnie trzeba zrobić.
NIS2 to nie jest temat tylko dla operatorów infrastruktury. No i to jest właśnie ta pułapka, w którą wpada najwięcej firm.
Czytaj →DORA krok po kroku. Od czego zacząć i czego nie odpuścić.
DORA obowiązuje od stycznia 2025, a połowa firm dalej traktuje ją jak trzy arkusze i nadzieję. No to po kolei, co realnie trzeba zrobić.
Czytaj →Dlaczego zrobiliśmy osobny rejestr RCP, mimo że mieliśmy ProcessingActivity
Mieliśmy ProcessingActivity z Sprint D i RcpEntry z głównej Iodynki. Dwa modele, te same dane, zero synchronizacji. Po roku zdecydowaliśmy.
Czytaj →Signal Engine to nie cron. Pisemy dlaczego.
Większość "silników compliance" to cron który raz dziennie sprawdza checklistę. Nasz nie jest cronem. Pisemy dlaczego.
Czytaj →PUODO blacklist a WP248. Dwa testy, nie alternatywa
Katalog M.P. 2019 poz. 666 i 10 kryteriów EDPB to dwa niezależne testy. Nie alternatywa. Tłumaczę dlaczego klienci to mylą.
Czytaj →