Cyberbezpieczeństwo – Wiadomości i Ciekawostki

Audyt wewnętrzny ISO 27001 prowadzi organizacja lub niezależny audytor, a etap 1 i etap 2 jednostka certyfikująca. Tabela różnic, kryteria wyboru wykonawcy według ISO/IEC 17021-1 i kolejność zamówień.

Test penetracyjny aplikacji z modelem językowym sprawdza prompt, narzędzia, źródła RAG i obsługę wyjścia według OWASP LLM Top 10 2026. Tabela dziesięciu klas podatności i lista przygotowań przed testem.

SQL injection wstrzykuje kod SQL przez dane użytkownika. Jak rozpoznać podatny wzorzec w kodzie, jakie są rodzaje ataku i jak bronić się zapytaniami parametryzowanymi według OWASP.

Pięć zasad cyberbezpieczeństwa to potoczna nazwa pięciu funkcji NIST Cybersecurity Framework: identyfikuj, chroń, wykrywaj, reaguj i odtwarzaj. Wersja 2.0 ram z 2024 roku dodała szóstą funkcję — zarządzaj — która obejmuje nadzór kierownictwa. Poniżej wyjaśniamy, co...

NIK w trzech kontrolach z lat 2019–2026 zarzuca urzędom brak audytu KRI w danym roku albo audyt, w którym IOD ocenia własne obszary. Wpis pokazuje, co dokładnie kwestionują kontrolerzy i jak ustawić audyt roczny, żeby przeszedł kontrolę.

Przepisy nie narzucają formy zatrudnienia osoby odpowiedzialnej za bezpieczeństwo informacji. O wyborze między vCISO a CISO na etacie decydują progi skali, reżim regulacyjny, dostępność kadr i bezstronność przeglądów.

Struktura planu ciągłości działania według rozdziału 8 normy ISO 22301:2019, siedem kroków opracowania dokumentu i drabinka czterech poziomów sprawdzania planu według NIST SP 800-84.

Siedem etapów certyfikacji ISO/IEC 27001 w kolejności, twarde terminy po decyzji certyfikacyjnej i sposób sprawdzenia, czy jednostka certyfikująca ma akredytację obejmującą ISMS.

Broken access control wypada w testach najczęściej, bo dotyczy logiki biznesowej aplikacji. Cztery procedury WSTG-ATHZ, ich odpowiedniki w OWASP API Security Top 10 i macierz autoryzacji, którą programista wpina do własnych testów integracyjnych.

W 2026 roku obowiązuje rozporządzenie Rady Ministrów z 21 maja 2024 r. (Dz.U. 2024 poz. 773). Akt z 2012 r. jest uchylony, a system zarządzania bezpieczeństwem informacji opisuje dziś § 19, nie § 20.

Siedem bramek bezpieczeństwa ułożonych w kolejności procesu wytwarzania: co wstawić, jakie kryterium przejścia przyjąć i czego żadne narzędzie automatyczne nie wykryje.

Szpital podlega ustawie o KSC jako podmiot kluczowy albo ważny. Progi z art. 5 ust. 8, wpis do Wykazu KSC do 3 października 2026 r., zgłoszenia 24/72 h i dwa niezależne cykle audytu.

Sześć obszarów badania zgodności z DORA i dowód wymagany w każdym z nich: od rejestru informacji z art. 28 ust. 3, przez ramy zarządzania ryzykiem ICT i proces incydentowy, po umowy z dostawcami i plany wyjścia.

Wzór dokumentu zakresu obowiązków CISO: sześć bloków zadań, macierz odpowiedzialności wobec zarządu i działu IT oraz decyzje, których nie wolno przenosić na CISO.

Zakres audytu aplikacji webowej to dwanaście kategorii testów z OWASP WSTG plus warstwa API, integracje i panele. Co przygotować przed startem: konta w każdej roli, dane testowe, wybór środowiska i zgody hostingu, chmury oraz zespołu od WAF-a.

Przed sezonem sprzedażowym testuj w pierwszej kolejności ścieżkę płatniczą, logowanie i kontrolę dostępu do zamówień. Harmonogram, lista kroków i kryterium terminu.

Politykę bezpieczeństwa informacji pisze się od własnych systemów, ról i decyzji, nie od pobranego pliku. Sześć sygnałów, że wzór z internetu opiera się na uchylonych przepisach, oraz siedem kroków pisania dokumentu na własnych danych.

SZBI składa się z zakresu, ról, analizy ryzyka, zabezpieczeń, dokumentacji i audytów. Sprawdź strukturę wg ISO/IEC 27001:2022 i kolejność budowy systemu.

OWASP Top 10 w wydaniu 2025: wszystkie dziesięć kategorii, co każda oznacza w praktyce, gdzie jej szukać u siebie i co zmieniło się względem wydania 2021.

System S46 to system teleinformatyczny krajowego systemu cyberbezpieczeństwa, przez który podmioty kluczowe i ważne zgłaszają incydenty. Wykaz KSC to jego osobna aplikacja: wpis w Wykazie uruchamia konto w S46, a termin na rozpoczęcie korzystania upływa 3 kwietnia 2027 r.

Audyt informatyczny ocenia cały obszar IT, audyt bezpieczeństwa IT sprawdza zgodność zabezpieczeń z wymaganiami, skanowanie podatności wykrywa znane luki, a test penetracyjny potwierdza, czy da się je wykorzystać. Porównanie czterech usług z podstawą metodyczną i tabelą decyzyjną.

Członek zarządu, wójt i dyrektor jednostki odpowiadają osobiście za cyberbezpieczeństwo podmiotu kluczowego lub ważnego. Wyjaśniamy, co mówią art. 20 NIS2 i art. 8c–8e ustawy o KSC, jakie grożą sankcje i jak udokumentować nadzór.

Dyrektywa NIS2 nie każe firmom robić cyklicznych audytów. Robi to polska ustawa o KSC: art. 15 nakłada obowiązek na podmioty kluczowe. Kto może audytować, co sprawdza audytor wobec art. 8 ust. 1 i jak zebrać dowody w 90 dni.

Wpis do Wykazu KSC to początek, nie koniec. Terminy na SZBI, S46, zgłaszanie incydentów, szkolenie kierownika i pierwszy audyt, z podstawą prawną i planem na 12 miesięcy.

NIS2 dotyczy podmiotów, które spełniają jednocześnie dwa warunki: działają w jednym z 18 sektorów wskazanych w załącznikach do dyrektywy (UE) 2022/2555 i są co najmniej średnim przedsiębiorstwem, czyli zatrudniają 50 osób lub więcej albo przekraczają progi finansowe....

Skanowanie podatności i test penetracyjny to dwie różne usługi, choć w ofertach bywają mylone. Porównujemy je w 10 kryteriach i pokazujemy, kiedy wystarczy skan, a kiedy potrzebny jest pentest.

Co wpisać do RFP na pentest, żeby oferty dało się porównać: tabela dziesięciu elementów, kryteria oceny, wymagania wobec wykonawcy i gotowy szablon.

Każda strona firmowa, sklep i aplikacja są celem automatycznych skanerów. Jak rozpoznać włamanie po 12 objawach, co zrobić w pierwszej godzinie i jak obniżyć ryzyko.

Pentest OT różni się od testu IT priorytetami, narzędziami i ceną błędu. Kto może go przeprowadzić, co wchodzi w zakres i jak przebiega bez przestoju produkcji.

Testy bezpieczeństwa IT wykonuje się w 8 krokach. Zaczynają się od określenia celu i zakresu oraz wyboru metodyki i wykonawcy. Potem następują rekonesans, skanowanie podatności i manualna eksploitacja, a na końcu raport z oceną CVSS oraz remediacja z retestem. Cały...

Jak zgłaszać poważne incydenty ICT wg rozporządzenia DORA: trzy raporty i ich terminy z RTS 2025/301, kryteria klasyfikacji z RTS 2024/1772, System Sprawozdawczości DORA w KNF i lista przygotowań, które pozwalają zmieścić się w 4 godzinach.