Jesteśmy partnerem inżynieryjnym, a nie certyfikowaną firmą zajmującą się testami penetracyjnymi. Naszym zadaniem jest zaprojektowanie platformy zgodnie ze standardami testów penetracyjnych, skoordynowanie testów penetracyjnych dla fintechów z niezależnym audytorem zewnętrznym oraz naprawienie każdego wykrytego problemu w ramach naszego zarządzanego procesu zmian. Raport z testów penetracyjnych podpisuje strona trzecia; TrustChange jest partnerem inżynieryjnym odpowiedzialnym za kod poddawany testom.

Punktem wyjścia jest pisemny model zagrożeń dla każdego produktu – zasoby, punkty wejścia, granice zaufania i scenariusze – a także analiza aktualnego poziomu bezpiecznego cyklu wytwarzania oprogramowania (secure-SDLC). Następnie przygotowujemy środowisko, ustalamy zakres i zasady współpracy z niezależnym audytorem zewnętrznym, przeprowadzamy okno testów penetracyjnych dla fintechów, klasyfikujemy wyniki według istotności i naprawiamy je zgodnie z przypisanymi właścicielami i terminami SLA. Retesty potwierdzają zamknięcie każdego wykrytego problemu, zanim zniknie on z rejestru.

Inżynieria bezpieczeństwa jest obecna w każdej usłudze TrustChange – nie stanowi oddzielnej fazy dołączanej dopiero przed wdrożeniem. Oznacza to modelowanie zagrożeń już na etapie ustalania zakresu, skanowanie SAST/SBOM/wycieków sekretów wbudowane w CI od pierwszego sprintu, obsługę kluczy zaprojektowaną w portfelu lub księdze rozliczeniowej oraz okna testów penetracyjnych zaplanowane przed każdym większym wydaniem. W ramach dedykowanego zespołu deweloperskiego jest to część zakresu obowiązków zespołu; przy budowie w stałym zakresie – odrębny, wyodrębniony obszar prac.

Wersjonowany model zagrożeń dla każdego produktu, stan bezpieczeństwa CI z udokumentowaną każdą bramką kontrolną, notatki z procedur obsługi kluczy, SBOM dla każdego wydania, raport z testów penetracyjnych od strony trzeciej, rejestr działań naprawczych z właścicielami i terminami SLA oraz gotowe do audytu pakiety zamknięcia dla działu finansowego i audytorów. Wszystko należy do klienta i znajduje się w Twoich repozytoriach lub Twoim magazynie dowodów – bez uzależnienia od dostawcy, bez dashboardów dostępnych wyłącznie za dodatkową opłatą.

TrustChange jest partnerem inżynieryjnym, a nie QSA ani kancelarią prawną – to Twój zespół ds. zgodności, MLRO i audytorzy ustalają politykę i potwierdzają status, a my dostarczamy mechanizmy kontrolne i dowody. Oznacza to przepływy płatności uwzględniające PSD2 i minimalizację zakresu PCI, dokumentację zgodną z MiCA tam, gdzie ma to zastosowanie, integracje z listami sankcyjnymi i Travel Rule zaimplementowane w kodzie oraz przechowywanie danych zgodne z RODO, z mapowaniem danych i zasadami retencji. Nie składamy w Twoim imieniu żadnych deklaracji dotyczących licencji, opinii, zezwoleń ani atestacji PCI.

Bezkonfliktowo. Wasz zespół bezpieczeństwa zachowuje odpowiedzialność za politykę, akceptację ryzyka i wybór dostawców; my wnosimy inżynierię, przygotowanie środowiska i działania naprawcze. Nasz wyznaczony lider realizacji prowadzi wspólną sesję roboczą z liderem bezpieczeństwa po Waszej stronie i zewnętrznym audytorem na początku okna testowego, kolejną w jego trakcie oraz przegląd wraz z raportem na zakończenie. Wykryte problemy trafiają do Waszego narzędzia do zgłoszeń, a nie naszego.