Inżynieria bezpieczeństwa dla kryptowalut i fintechu,
oparta na dowodach z testów penetracyjnych, a nie na sloganach.

Jesteśmy partnerem inżynieryjnym, a nie certyfikowaną firmą testów penetracyjnych. Naszą rolą jest zaprojektowanie platformy zgodnie ze standardami testów penetracyjnych, skoordynowanie testu penetracyjnego fintech z niezależnym zewnętrznym testerem oraz naprawa każdego ustalenia w ramach naszego zarządzanego procesu zmian. Raport z testu penetracyjnego podpisuje strona trzecia; TrustChange jest partnerem inżynieryjnym stojącym za testowanym kodem.

Punktem wyjścia jest spisany model zagrożeń dla każdego produktu — zasoby, punkty wejścia, granice zaufania i scenariusze — oraz analiza aktualnego stanu bezpiecznego SDLC. Następnie przygotowujemy środowisko, ustalamy zakres i zasady zaangażowania z niezależnym zewnętrznym testerem, przeprowadzamy okno testu penetracyjnego fintech, klasyfikujemy ustalenia według wagi i naprawiamy je zgodnie z właścicielami i SLA. Retesty potwierdzają zamknięcie każdego ustalenia, zanim zniknie ono z rejestru.

Security engineering funkcjonuje w ramach każdego zlecenia TrustChange — bez osobnej fazy poświęconej wyłącznie bezpieczeństwu doklejonej przed startem. Oznacza to modelowanie zagrożeń już na etapie ustalania zakresu, skanowanie SAST/SBOM/sekretów podłączone do CI od pierwszego sprintu, obsługę kluczy zaprojektowaną w portfelu lub księdze rachunkowej oraz okna testów penetracyjnych zaplanowane przed każdym większym wydaniem. W ramach dedykowanego zespołu deweloperskiego jest to część zakresu odpowiedzialności squadu; przy projekcie o stałym zakresie stanowi wyodrębniony nurt prac.

Wersjonowany model zagrożeń dla każdego produktu, stan bezpieczeństwa CI z udokumentowaną każdą bramką, notatki z procedur obsługi kluczy, SBOM dla każdego wydania, raport z testu penetracyjnego od zewnętrznego testera, rejestr napraw z właścicielami i SLA oraz gotowe do audytu pakiety zamknięcia dla działu finansowego i audytorów. Wszystko jest własnością klienta i znajduje się w Twoich repozytoriach lub Twoim magazynie dowodów — bez uzależnienia od dostawcy, bez dashboardów dostępnych wyłącznie po opłaceniu.

TrustChange jest partnerem inżynieryjnym, a nie QSA ani kancelarią prawną — Twój zespół ds. zgodności, MLRO i audytorzy ustalają politykę i potwierdzają status, my dostarczamy kontrole i dowody. Oznacza to przepływy płatności uwzględniające PSD2 i minimalizację zakresu PCI, rekordy gotowe pod MiCA tam, gdzie ma to zastosowanie, integracje z listami sankcyjnymi i Travel Rule w kodzie oraz przechowywanie danych zgodne z RODO, wraz z mapowaniem danych i zasadami retencji. Nie składamy w Twoim imieniu żadnych deklaracji dotyczących licencji, opinii, zezwoleń ani atestacji PCI.

Bezproblemowo. Twój zespół bezpieczeństwa zachowuje pełną kontrolę nad polityką, akceptacją ryzyka i wyborem dostawców; my wnosimy inżynierię, przygotowanie środowiska i naprawę ustaleń. Nasz wyznaczony lider realizacji prowadzi wspólną sesję roboczą z Waszym liderem bezpieczeństwa i zewnętrznym testerem na początku okna testowego, jedną w trakcie jego trwania oraz przegląd z raportem na koniec. Ustalenia trafiają do Waszego narzędzia do zgłoszeń, nie do naszego.