W większości organizacji przemysłowych, cyberbezpieczeństwo technologii operacyjnej (OT) dryfuje w niebezpiecznej próżni. Znajduje się w “ziemi niczyjej” pomiędzy światem IT, który posiada kompetencje w zakresie bezpieczeństwa, ale nie rozumie procesów fizycznych, a światem OT, który doskonale rozumie procesy, ale tradycyjnie nie zajmował się cyberzagrożeniami. W efekcie, gdy pojawia się problem, rozpoczyna się gra w przerzucanie odpowiedzialności. IT wskazuje na OT, OT na IT, a obie strony często wskazują na zewnętrznych dostawców.
Ten brak jasno zdefiniowanej własności i struktury decyzyjnej jest jedną z największych, a jednocześnie najczęściej ignorowanych, barier w budowaniu realnej odporności cyfrowej. Można kupić najlepsze technologie i napisać najdoskonalsze procedury, ale jeśli nie wiadomo, kto jest ostatecznie odpowiedzialny za ich wdrożenie, egzekwowanie i finansowanie, pozostaną one tylko teorią. Bezpieczeństwo OT przestaje być problemem “niczyim” i staje się problemem “wspólnym” dopiero wtedy, gdy zostanie wsparte solidnym fundamentem ładu organizacyjnego (governance).
Stworzenie takiej struktury to nie jest biurokratyczna sztuka dla sztuki. To fundamentalna zmiana w sposobie zarządzania firmą, która ma na celu przełamanie historycznych silosów i zmuszenie wszystkich kluczowych interesariuszy – Zarządu, IT, OT, działu finansów i prawnego – do rozmowy jednym, spójnym językiem ryzyka biznesowego. To proces trudny, ale absolutnie niezbędny, aby skutecznie nawigować w coraz bardziej złożonym krajobrazie zagrożeń i regulacji.
Dlaczego bez formalnej struktury zarządzania, bezpieczeństwo OT zawsze będzie “niczyim” problemem?
Problem “ziemi niczyjej” ma głębokie korzenie historyczne i kulturowe. Przez dekady, sieci OT były domeną inżynierów produkcji, a ich głównym zmartwieniem była niezawodność i bezpieczeństwo fizyczne. Cyberbezpieczeństwo, o ile w ogóle istniało, było realizowane poprzez fizyczną izolację. Zespół IT, z drugiej strony, budował swoje kompetencje w ochronie sieci korporacyjnej. W rezultacie powstały dwa potężne, oddzielne królestwa z różnymi celami, językami i budżetami.
Gdy konwergencja IT/OT zburzyła mury między tymi królestwami, nikt nie zadbał o to, aby na nowo zdefiniować granice odpowiedzialności. W efekcie, bezpieczeństwo OT stało się organizacyjną “sierotą”. Zespół IT nie czuje się w pełni odpowiedzialny, bo “to nie nasze systemy i nie rozumiemy ich wpływu na produkcję”. Zespół OT również nie czuje się odpowiedzialny, bo “nie mamy kompetencji, narzędzi ani budżetu na cyberbezpieczeństwo”.
Ten brak właściciela prowadzi do paraliżu. Inicjatywy związane z bezpieczeństwem OT grzęzną w martwym punkcie, bo nikt nie ma mandatu, aby je poprowadzić i sfinansować. Ryzyka są identyfikowane, ale nie są mitygowane, bo nie wiadomo, kto ma podjąć decyzję. W razie incydentu, zamiast skoordynowanej reakcji, mamy chaos i wzajemne obwinianie. Bez formalnej struktury, bezpieczeństwo OT zawsze będzie reaktywne i chaotyczne, zamiast proaktywne i strategiczne.
📚 Przeczytaj kompletny przewodnik: Cyberbezpieczeństwo: Kompletny przewodnik po cyberbezpieczeństwie dla zarządów i menedżerów
Czym jest ład organizacyjny (governance) w kontekście cyberbezpieczeństwa przemysłowego?
Ład organizacyjny (governance) to formalny system reguł, praktyk i procesów, za pomocą którego organizacja jest kierowana i kontrolowana. W kontekście cyberbezpieczeństwa OT, governance definiuje “kto, co i jak” w kwestii podejmowania decyzji, zarządzania ryzykiem i egzekwowania odpowiedzialności. Jest to szkielet organizacyjny, na którym opiera się cały program bezpieczeństwa.
Skuteczny model governance dla OT nie jest kopią struktury z IT. Musi on być specjalnie zaprojektowany tak, aby uwzględniać unikalne potrzeby i priorytety środowiska produkcyjnego. Jego celem jest stworzenie ram, które zapewnią, że decyzje dotyczące bezpieczeństwa są podejmowane w sposób świadomy, spójny i zgodny z celami biznesowymi całej firmy, a nie tylko jednego działu.
Dobry ład organizacyjny odpowiada na fundamentalne pytania: Kto jest ostatecznym właścicielem ryzyka w obszarze OT? Kto ustala strategię i polityki bezpieczeństwa? Kto zatwierdza budżet? Jak mierzymy skuteczność naszych działań? Jak rozwiązujemy konflikty między priorytetami IT i OT? Stworzenie jasnych odpowiedzi na te pytania jest pierwszym krokiem do wyjścia z chaosu.
Dlaczego każda skuteczna strategia bezpieczeństwa OT musi zaczynać się na poziomie zarządu?
Wiele inicjatyw bezpieczeństwa OT upada, ponieważ są one oddolnymi, technicznymi projektami, które nie mają poparcia na najwyższym szczeblu organizacji. Bezpieczeństwo OT to nie jest problem techniczny, który można “naprawić”. To strategiczne ryzyko biznesowe, które ma bezpośredni wpływ na zdolność firmy do generowania przychodów i może prowadzić do katastrofalnych strat finansowych, a nawet zagrożenia dla życia. Zarządzanie takim ryzykiem jest podstawowym obowiązkiem zarządu.
Zaangażowanie zarządu (executive sponsorship) jest absolutnie kluczowym czynnikiem sukcesu. To zarząd musi formalnie uznać cyberbezpieczeństwo OT za priorytet strategiczny. To on musi nadać inicjatywie odpowiednią rangę, przydzielić niezbędne zasoby i dać liderom programu silny mandat do działania i przełamywania wewnętrznych oporów. Bez tego wsparcia “z góry”, każda próba wprowadzenia zmian zostanie zablokowana przez silosy organizacyjne i walki o budżet.
Dyrektywa NIS2 dodatkowo wzmacnia tę potrzebę, nakładając na członków organów zarządzających bezpośrednią odpowiedzialność za zaniedbania w obszarze cyberbezpieczeństwa. Zarząd nie może już dłużej twierdzić, że “to sprawa dla informatyków”. Musi aktywnie nadzorować proces, rozumieć kluczowe ryzyka i upewnić się, że firma posiada skuteczną strategię ich mitygacji.
Kto jest ostatecznie odpowiedzialny za bezpieczeństwo OT: CISO, COO, czy ktoś zupełnie inny?
Jedną z pierwszych i najważniejszych decyzji w budowaniu modelu governance jest jasne zdefiniowanie własności (ownership). Kto jest tą jedną osobą w organizacji, która jest ostatecznie odpowiedzialna za sukces lub porażkę programu bezpieczeństwa OT? Nie ma na to jednej, uniwersalnej odpowiedzi, a wybór modelu zależy od kultury i struktury danej firmy.
W niektórych organizacjach, odpowiedzialność ta jest przypisana do Dyrektora ds. Bezpieczeństwa Informacji (CISO). Jest to logiczne, ponieważ CISO posiada największe kompetencje w dziedzinie bezpieczeństwa. Wyzwaniem jest jednak to, że CISO tradycyjnie pochodzi ze świata IT i może nie mieć wystarczającego zrozumienia i autorytetu w świecie OT. Aby ten model zadziałał, CISO musi mieć bardzo silny mandat od zarządu i blisko współpracować z kadrą zarządzającą operacjami.
W innych firmach, odpowiedzialność spoczywa na Dyrektorze Operacyjnym (COO) lub szefie produkcji. Ten model zapewnia, że bezpieczeństwo jest ściśle zintegrowane z operacjami, ale niesie ryzyko, że może ono zostać zepchnięte na dalszy plan w obliczu presji na realizację celów produkcyjnych. Coraz częściej pojawia się również model hybrydowy, w którym powoływane jest dedykowane stanowisko Menedżera ds. Bezpieczeństwa OT, który raportuje albo do CISO, albo wspólnie do CISO i COO.
Jak powołać międzyfunkcyjny komitet sterujący, który stanie się mostem między IT a OT?
Niezależnie od tego, kto jest ostatecznym właścicielem, żadna pojedyncza osoba nie jest w stanie samodzielnie zarządzać tak złożonym obszarem. Kluczem do sukcesu jest powołanie międzyfunkcyjnego komitetu sterującego (steering committee), który stanie się formalną platformą współpracy i podejmowania decyzji. To właśnie ten komitet jest “mostem”, na którym spotykają się przedstawiciele wszystkich zwaśnionych stron.
W skład komitetu powinni wchodzić kluczowi decydenci z różnych części organizacji. Muszą się w nim znaleźć przedstawiciele kierownictwa IT (np. CIO), bezpieczeństwa IT (CISO), kierownictwa operacyjnego OT (np. Dyrektor Zakładu, Główny Inżynier) oraz biznesu. W zależności od potrzeb, do udziału w spotkaniach można również zapraszać ekspertów z działu prawnego, HR czy zakupów.
Taka zróżnicowana reprezentacja zapewnia, że wszystkie perspektywy są brane pod uwagę podczas podejmowania decyzji. Gwarantuje ona również, że decyzje podjęte przez komitet będą miały poparcie w całej organizacji i zostaną skutecznie wdrożone, a nie zbojkotowane przez poszczególne działy.
Jakie są kluczowe zadania i uprawnienia komitetu sterującego ds. bezpieczeństwa OT?
Komitet sterujący to nie jest kółko dyskusyjne. To formalne ciało decyzyjne z jasno zdefiniowanym mandatem i zakresem obowiązków. Jego głównym zadaniem jest nadzór strategiczny nad całym programem bezpieczeństwa OT. To on jest odpowiedzialny za zatwierdzenie ogólnej strategii, polityk i standardów bezpieczeństwa.
Do kluczowych zadań komitetu należy również zarządzanie ryzykiem na poziomie strategicznym. Komitet regularnie dokonuje przeglądu najważniejszych ryzyk w obszarze OT, ocenia ich potencjalny wpływ na biznes i podejmuje decyzje o ich akceptacji, transferze lub mitygacji. To właśnie komitet sterujący zatwierdza kluczowe projekty i alokuje niezbędne zasoby i budżet na ich realizację.
Komitet pełni również rolę forum do rozwiązywania konfliktów. Gdy pojawia się spór między IT a OT dotyczący priorytetów lub sposobu implementacji danego zabezpieczenia, to właśnie komitet sterujący jest instancją, która wysłuchuje argumentów obu stron i podejmuje ostateczną, wiążącą decyzję w oparciu o nadrzędny interes całej firmy.
Filary skutecznego ładu organizacyjnego (Governance) w OT
FilarCelKluczowe działanie1. Wsparcie ZarząduZapewnienie strategicznego priorytetu, mandatu i zasobów.Aktywne zaangażowanie zarządu w nadzór nad programem bezpieczeństwa.2. Jasna OdpowiedzialnośćWyeliminowanie problemu “ziemi niczyjej” i braku właściciela.Formalne przypisanie ostatecznej odpowiedzialności za bezpieczeństwo OT (np. do CISO/COO).3. Komitet SterującyStworzenie platformy do współpracy, podejmowania decyzji i rozwiązywania konfliktów.Powołanie międzyfunkcyjnego zespołu z przedstawicielami IT, OT, bezpieczeństwa i biznesu.4. Wspólny Model RyzykaStworzenie jednego, zrozumiałego języka do oceny i komunikacji zagrożeń.Wdrożenie ram oceny ryzyka, które łączą podatności techniczne z wpływem na biznes.5. Wspólne PolitykiZapewnienie spójnych i realistycznych zasad bezpieczeństwa dla całej organizacji.Wspólne opracowanie polityk i standardów, które są akceptowane i wykonalne w OT.
Jak stworzyć wspólny model zarządzania ryzykiem, który będzie zrozumiały dla wszystkich stron?
Jednym z największych wyzwań w komunikacji między IT a OT jest brak wspólnego języka do opisywania ryzyka. Zespół IT mówi o “podatnościach CVSS 9.8”, a zespół OT o “ryzyku zatrzymania produkcji”. Aby komitet sterujący mógł podejmować świadome decyzje, potrzebuje on wspólnego, ujednoliconego modelu zarządzania ryzykiem, który potrafi przełożyć zagrożenia techniczne na ich realny wpływ na biznes.
Taki model musi łączyć w sobie elementy z obu światów. Ocena ryzyka powinna zaczynać się od identyfikacji technicznej podatności i prawdopodobieństwa jej wykorzystania (domena IT). Ale kluczowym, drugim elementem musi być ocena potencjalnego wpływu biznesowego i operacyjnego (domena OT). Wpływ ten powinien być wyrażony w kategoriach zrozumiałych dla zarządu: potencjalnych strat finansowych, czasu przestoju, zagrożenia dla bezpieczeństwa ludzi czy ryzyka reputacyjnego.
Dzięki takiemu podejściu, dyskusja na forum komitetu przestaje być abstrakcyjna. Zamiast spierać się o ocenę CVSS, zespół dyskutuje o konkretnym scenariuszu: “Ryzyko R1, polegające na wykorzystaniu podatności X w systemie Y, ma prawdopodobieństwo wystąpienia na poziomie ‘Niskim’, ale jego potencjalny wpływ to 12 godzin przestoju i straty w wysokości 2 milionów euro. Czy akceptujemy to ryzyko, czy inwestujemy w jego mitygację?”.
Dlaczego polityki i standardy bezpieczeństwa dla OT muszą być tworzone wspólnie, a nie narzucane przez IT?
Wiele organizacji popełnia błąd, próbując po prostu rozszerzyć swoje istniejące, korporacyjne polityki bezpieczeństwa IT na środowisko OT. Takie podejście “z góry na dół” jest z góry skazane na porażkę. Polityki stworzone dla świata biurowego są często nierealistyczne i niewykonalne na hali produkcyjnej.
Polityka, która nakazuje comiesięczną zmianę haseł na wszystkich systemach, może być dobrym standardem w IT. Jednak w OT, gdzie hasła do sterowników są często wpisane na stałe w wielu aplikacjach, taka zmiana jest gigantycznym i ryzykownym projektem. Narzucenie takiej polityki bez konsultacji doprowadzi do tego, że inżynierowie OT będą ją ignorować lub omijać, postrzegając ją jako kolejny, nierozumny wymysł “tych z IT”.
Dlatego właśnie polityki i standardy dla OT muszą być tworzone wspólnie, w ramach komitetu sterującego. Proces ten musi angażować inżynierów OT, którzy najlepiej wiedzą, co jest technicznie i operacyjnie wykonalne w ich środowisku. Celem jest stworzenie zestawu zasad, które realnie podnoszą bezpieczeństwo, a jednocześnie są praktyczne i akceptowane przez ludzi, którzy na co dzień będą musieli ich przestrzegać.
Jakie są pierwsze kroki w budowaniu nowej struktury zarządczej w Twojej firmie?
Budowa modelu governance to proces ewolucyjny, który należy zacząć od małych, ale fundamentalnych kroków. Pierwszym krokiem jest uzyskanie formalnego poparcia i mandatu od zarządu. Należy przygotować solidne uzasadnienie biznesowe, które pokaże zarządowi, dlaczego obecny brak struktury jest poważnym ryzykiem i dlaczego inwestycja w governance jest konieczna (można tu wykorzystać argument wymogów NIS2).
Drugim krokiem jest powołanie nieformalnej, roboczej grupy międzyfunkcyjnej, która będzie zalążkiem przyszłego komitetu sterującego. Celem tej grupy jest przeprowadzenie wstępnej diagnozy stanu obecnego – zidentyfikowanie kluczowych interesariuszy, zebranie istniejących polityk i procedur oraz stworzenie pierwszej, wysokopoziomowej mapy ryzyk.
Trzecim krokiem jest zorganizowanie pierwszego, formalnego spotkania komitetu sterującego, pod patronatem członka zarządu. Na tym spotkaniu należy formalnie zatwierdzić statut komitetu (jego cele, skład, uprawnienia i częstotliwość spotkań) oraz uzgodnić plan pracy na najbliższe miesiące. Najważniejsze jest, aby ruszyć z miejsca i stworzyć formalną platformę do regularnego dialogu.
Jak nowa struktura pomaga w rozwiązywaniu konfliktów i budowaniu kultury współpracy?
Główną wartością formalnej struktury governance jest to, że zastępuje ona chaos, nieformalne ustalenia i spory kompetencyjne przejrzystym i uzgodnionym procesem decyzyjnym. Komitet sterujący staje się oficjalnym i jedynym miejscem do rozwiązywania strategicznych dylematów i konfliktów na styku IT i OT.
Gdy pojawia się problem, nie jest on już “gorącym kartoflem” przerzucanym między działami. Zostaje on formalnie zgłoszony na agendę komitetu. Obie strony mają możliwość przedstawienia swoich argumentów w oparciu o wspólny model ryzyka. Decyzja, która zapada, jest decyzją wspólną, podjętą przez przedstawicieli wszystkich zainteresowanych stron, a nie jednostronnym dekretem jednego działu.
Regularne spotkania i wspólna praca nad rozwiązywaniem problemów w ramach komitetu w naturalny sposób budują wzajemne zrozumienie i zaufanie. Inżynierowie IT zaczynają rozumieć ograniczenia i priorytety OT, a inżynierowie OT zaczynają doceniać perspektywę bezpieczeństwa. Z czasem, kultura konfliktu i rywalizacji zaczyna ustępować miejsca kulturze partnerstwa i wspólnej odpowiedzialności.
Jakie wskaźniki (KPI) powinien śledzić komitet sterujący, aby mierzyć postępy?
Aby program bezpieczeństwa nie był tylko zbiorem działań, ale realną strategią, jego postępy muszą być mierzalne. Komitet sterujący powinien zdefiniować i regularnie śledzić zestaw kluczowych wskaźników efektywności (Key Performance Indicators - KPI), które w sposób obiektywny pokażą, czy program zmierza w dobrym kierunku.
Wskaźniki te powinny obejmować różne aspekty. Mogą to być wskaźniki dojrzałości, takie jak procentowy postęp we wdrażaniu kluczowych kontroli bezpieczeństwa (np. “procent zinwentaryzowanych zasobów OT”, “procent sieci objętej segmentacją”). Mogą to być również wskaźniki operacyjne, takie jak “liczba wykrytych krytycznych podatności”, “średni czas usunięcia podatności” czy “wyniki symulowanych testów phishingowych”.
Ważne jest, aby wskaźniki te były prezentowane w formie przejrzystego pulpitu menedżerskiego (dashboard), który w prosty sposób komunikuje stan zdrowia programu bezpieczeństwa. Regularna analiza tych wskaźników pozwala komitetowi na identyfikację obszarów, które wymagają większej uwagi i na podejmowanie decyzji w oparciu o dane, a nie o intuicję.
W jaki sposób dojrzały model governance ułatwia spełnienie wymogów NIS2 w zakresie odpowiedzialności zarządu?
Dyrektywa NIS2 wprowadza rewolucyjną koncepcję osobistej odpowiedzialności członków zarządu za cyberbezpieczeństwo. Oznacza to, że w przypadku poważnego incydentu, organy nadzoru mogą pociągnąć do odpowiedzialności nie tylko samą firmę, ale również konkretnych menedżerów, jeśli okaże się, że nie dochowali oni należytej staranności.
Posiadanie sformalizowanego, udokumentowanego i działającego w praktyce modelu governance jest najsilniejszym dowodem na dochowanie tej należytej staranności. Pokazuje on, że zarząd traktuje cyberbezpieczeństwo poważnie, że stworzył odpowiednie struktury do zarządzania ryzykiem, że regularnie nadzoruje ten proces i podejmuje świadome decyzje w oparciu o rzetelne informacje.
Protokoły ze spotkań komitetu sterującego, zatwierdzone polityki, udokumentowane analizy ryzyka i pulpity menedżerskie ze wskaźnikami KPI – to wszystko stanowi bezcenny materiał dowodowy, który w razie kontroli lub incydentu może obronić zarząd przed zarzutem zaniedbania. Inwestycja w governance to nie tylko inwestycja w bezpieczeństwo, ale również w ochronę prawną najwyższej kadry zarządzającej.
Czy bezpieczeństwo OT to projekt techniczny, czy fundamentalna zmiana w zarządzaniu firmą?
Po przeanalizowaniu wszystkich aspektów ładu organizacyjnego, odpowiedź na to pytanie staje się oczywista. Skuteczne zabezpieczenie środowiska OT nigdy nie będzie tylko projektem technicznym polegającym na wdrożeniu kilku nowych narzędzi. Jest to fundamentalna transformacja, która dotyka samych podstaw zarządzania firmą.
Wymaga ona przełamania wieloletnich silosów organizacyjnych, stworzenia nowych struktur decyzyjnych, wypracowania wspólnego języka i zbudowania nowej kultury opartej na partnerstwie i wspólnej odpowiedzialności. Jest to zmiana, która musi być prowadzona z samej góry i angażować wszystkie kluczowe funkcje w przedsiębiorstwie.
Podejście czysto technologiczne, bez solidnego fundamentu w postaci dojrzałego modelu governance, jest jak budowanie domu na piasku. Nawet najsolidniejsze ściany w końcu runą. Prawdziwa, długoterminowa odporność cyfrowa w przemyśle zaczyna się nie od firewalla, ale od dobrze zorganizowanego spotkania komitetu sterującego.
Jak nFlo może wesprzeć Twoją organizację w zaprojektowaniu i wdrożeniu skutecznego modelu governance dla OT?
W nFlo rozumiemy, że budowa skutecznego ładu organizacyjnego dla bezpieczeństwa OT to złożony proces, który wymaga nie tylko wiedzy technicznej, ale przede wszystkim doświadczenia w zarządzaniu zmianą i facylitacji dialogu między różnymi grupami interesariuszy. Nasza rola jako zewnętrznego doradcy polega na wsparciu Państwa na każdym etapie tej transformacji.
Pomagamy w przygotowaniu uzasadnienia biznesowego i prezentacji dla zarządu, aby uzyskać niezbędny mandat i wsparcie dla inicjatywy. Prowadzimy warsztaty z kluczowymi decydentami, podczas których pomagamy zdefiniować optymalny dla Państwa firmy model odpowiedzialności i zaprojektować statut oraz skład komitetu sterującego.
Dzięki naszemu doświadczeniu, pełnimy rolę neutralnego moderatora, który pomaga przełamać bariery komunikacyjne między IT a OT i wypracować wspólny, zrozumiały dla wszystkich model zarządzania ryzykiem. Wspieramy również w tworzeniu kluczowych dokumentów, takich jak polityki i standardy, oraz w definiowaniu mierzalnych wskaźników KPI. Naszym celem jest nie tylko zaprojektowanie struktury “na papierze”, ale pomoc w jej realnym wdrożeniu i uruchomieniu, tak aby stała się ona trwałym i skutecznym elementem zarządzania Państwa firmą.
Powiązane pojęcia
Poznaj kluczowe terminy związane z tym artykułem w naszym słowniku cyberbezpieczeństwa:
- Backup — Backup (kopia zapasowa) to proces tworzenia duplikatu danych w celu ich…
- Cyberbezpieczeństwo — Cyberbezpieczeństwo to zbiór technik, procesów i praktyk ochrony systemów IT,…
- SOC 2 — SOC 2 to standard audytu AICPA oceniający kontrole bezpieczeństwa, dostępności…
- Szyfrowanie — Szyfrowanie to proces konwersji danych na zaszyfrowany tekst nieczytelny bez…
- Blue Team — Blue Team to zespół specjalistów odpowiedzialny za obronę systemów…
Dowiedz się więcej
Zapoznaj się z powiązanymi artykułami w naszej bazie wiedzy:
- Czym jest System Zarządzania Bezpieczeństwem Informacji (SZBI) i jak działa?
- Czym jest bezpieczeństwo informacji i jak zbudować skuteczny System Zarządzania Bezpieczeństwem Informacji (SZBI)?
- Jak stworzyć politykę Cyberbezpieczeństwa dla samorządu i co ona obejmuje?
- KSC i NIS2: dlaczego zarząd jest teraz osobiście odpowiedzialny za cyberbezpieczeństwo?
- baramundi Management Suite - rozwiązanie nowej generacji do zarządzania bezpieczeństwem IT
Sprawdź nasze usługi
Potrzebujesz wsparcia w zakresie cyberbezpieczeństwa? Sprawdź:
- Audyty bezpieczeństwa - kompleksowa ocena stanu zabezpieczeń
- Testy penetracyjne - identyfikacja podatności w infrastrukturze
- SOC as a Service - całodobowy monitoring bezpieczeństwa
