Audyty i wdrożenia, które zostawiają dowody
Minimalizuję ryzyko, porządkuję wymagania i dostarczam artefakty pod audyt: macierze zgodności, checklisty, plan 30/60/90, raporty hardeningu oraz dokumentację zmian.
Modele współpracy
Start decyzyjny (1–2 tyg.)
Szybkie rozpoznanie, priorytety, ryzyka i mapa działań.
- Zakres i cele + ograniczenia
- Plan 30/60/90 + backlog
- Wymagania pod audyt + dowody
Audit-ready wdrożenie
Zmiany techniczne i procesowe + dokumentacja i walidacja.
- Macierz zgodności / SoA / dowody
- Wdrożenia + testy + handover
- Raport końcowy + rekomendacje
Stałe wsparcie + IR
SLA, konsultacje, przeglądy, reagowanie i utrzymanie standardu.
- Priorytety, kontrola zmian, hardening
- Wsparcie audytowe i compliance
- Incident Response (w razie potrzeby)
Co dostajesz na koniec
Artefakty i dowody
- Macierze zgodności (np. NIS2/UKSC)
- Plan 30/60/90 i backlog działań
- Raporty hardeningu i checklisty
- Dokumentacja zmian + uzasadnienia
Decyzje i priorytety
- Ryzyka, koszty, zależności
- Quick wins + roadmapa
- Warianty realizacji (projekt/retainer)
- Rekomendacje pod audyt/zarząd
Standard pracy i dowody
Wynik końcowy to zestaw decyzji, dowodów i artefaktów wdrożeniowych. Dostajesz dokumentację zmian, macierze zgodności i plan 30/60/90 — tak, żeby dało się to obronić na audycie i wdrożyć operacyjnie.
SLA i zasady współpracy
Prosto: ustalamy kanały, rytm pracy, kryteria odbioru i dowody. Dzięki temu wiadomo, co jest „zrobione”.
Komunikacja i rytm
- Discovery 30–60 min na start
- status/ryzyka: 1× tygodniowo (lub częściej w IR)
- jedno źródło prawdy: backlog + decyzje
Reakcja i eskalacja
- czas odpowiedzi: do 24h (dni robocze)
- priorytety: P1/P2/P3 + ścieżka eskalacji
- NDA na życzenie
Zakres i out of scope
- hardening (M365/Entra/Defender/FW)
- macierze zgodności / evidence pack
- procedury, checklisty, kryteria odbioru
- zmiany produkcyjne bez okna i rollback planu
- “pełny SOC 24/7” bez retaineru
- wdrożenia bez dostępu do logów/dowodów
Wybierz start
Trzy najczęstsze modele współpracy. Każdy kończy się artefaktami i jasnym planem działań — z wdrożeniem i kryteriami odbioru.
Discovery 30–60 min → propozycja wariantów
Najlepsze, gdy chcesz szybko ustalić scope, ryzyka i realny plan.
- krótki wywiad + cele + ograniczenia
- 2–3 warianty: zakres / artefakty / timeline
- rekomendacja „co ma sens”
Plan 30/60/90 + konfiguracje + odbiór
Gdy celem jest poprawa stanu bezpieczeństwa i gotowość do audytu/kontroli.
- quick wins + backlog działań
- artefakty (dowody) pod audyt
- kryteria odbioru + checklisty
Stała opieka / IR / konsultacje eksperckie
Gdy chcesz mieć szybki dostęp do eksperta i ciągłe podnoszenie poziomu.
- priorytetyzacja + przeglądy miesięczne
- wsparcie IR i hardeningu
- porządkowanie governance i dowodów
Mini-SoW (zakres i odbiór)
Krótko: co dostarczam, czego potrzebuję po Twojej stronie i jak wygląda odbiór. Bez niedomówień.
Zakres (typowo)
- Baseline / audyt techniczny + mapa ryzyk
- Plan 30/60/90 + backlog wdrożeniowy
- Artefakty: procedury/checklisty + konfiguracje (jeśli wchodzą w zakres)
- Kryteria odbioru etapu (co uznajemy za “done”)
Wejścia po Twojej stronie
- Właściciel merytoryczny + kanał kontaktu (Teams/mail)
- Minimalne dostępy (least privilege) lub exporty (tam gdzie można)
- Lista systemów/tenantów + priorytety biznesowe
- Okno na warsztat Discovery 30–60 min
Odbiór i dowody
- Dowody: logi / config / decyzje / wyniki testów
- Checklisty odbioru + lista “open items”
- Dokumentacja zmian + rekomendacje kolejnych kroków
- Wersjonowanie: kto, kiedy, dlaczego (audit-friendly)
Bezpieczeństwo pracy
- NDA na życzenie + praca na zanonimizowanych danych, gdzie to możliwe
- Dostępy czasowe / JIT / least privilege
- Brak “wgrywania” danych do narzędzi AI bez uzgodnienia
- Uzgodniony model komunikacji i retencji materiałów
Przykładowy harmonogram (tygodnie)
Co wpływa na koszt i czas
Nie sprzedaję „audytu w próżni” — wycena wynika ze scope’u, dowodów i oczekiwanego poziomu gotowości (audit-ready).
Zakres i złożoność
- ile systemów/obszarów (M365/Entra, sieć, endpoint, procesy)
- ile lokalizacji / tenantów / domen
- czy jest aktualna dokumentacja i właściciele procesów
Dowody i wymagania audytowe
- jakie „evidence pack” ma powstać (logi/konfigi/eksporty)
- mapowanie do wymagań (NIS2/UKSC/ISO 27001)
- kryteria odbioru + checklisty (żeby dało się obronić)
Tempo i tryb pracy
- deadline (Q2 vs „za 2 tygodnie”)
- czy wchodzimy we wdrożenia i zmiany produkcyjne
- czy potrzebny retainer (IR / stała opieka)
W odpowiedzi dostaniesz: 2–3 warianty (Discovery / wdrożenie / retainer), zakres, listę artefaktów i estymację terminu.
FAQ
Czy da się zacząć bez pełnych danych?
Tak. Startujemy od kontekstu i priorytetów. Następnie doprecyzowujemy zakres i dowody wymagane pod audyt.
Jak wygląda NDA i bezpieczeństwo informacji?
NDA na życzenie. Pracuję na zanonimizowanych danych tam, gdzie to możliwe, a dostęp nadajemy wg zasady minimalnych uprawnień.
Czy można dostać wersję dla zamówień publicznych?
Tak — przygotuję zakres, kryteria odbioru i listę artefaktów, które kończą etap/umowę.