Ostatnia aktualizacja: 26 sierpnia 2026
Bezpieczeństwo i zgodność
Większość ankiet bezpieczeństwa dla dostawców zadaje te same czterdzieści pytań. Ta strona odpowiada na nie z góry i mówi wprost, gdzie uczciwa odpowiedź brzmi „nie dotyczy”, zamiast ją upiększać.
Standardy, w których pracujemy
| Standard | Co z nim robimy |
|---|---|
| ISO/IEC 27001:2022 | Od analizy luk po audyt certyfikacyjny. Karol jest Lead Implementerem z certyfikatem BSI. |
| SOC 2 · ISAE 3402 | Przygotowanie do Type I i Type II: ustalenie zakresu kryteriów usług zaufania, zamknięcie luk i wsparcie przez cały czas prac audytora. |
| RODO | Rejestry czynności przetwarzania, środki techniczne i organizacyjne, oceny skutków dla ochrony danych (DPIA), procedury obsługi naruszeń. Outsourcing funkcji Inspektora Ochrony Danych. |
| Szwajcarska ustawa FADP (znowelizowana) | Data Protection Advisor, pełniony równolegle z funkcją IOD na gruncie RODO – przydatne tam, gdzie podmioty działają jednocześnie w UE i w Szwajcarii. |
| Cyber Essentials · Cyber Essentials Plus · IASME Cyber Assurance | Wdrożone od początku do końca dla podmiotu z Wielkiej Brytanii, łącznie z audytowanym poziomem Plus. |
Jak zbudowana jest ta strona
Firma doradzająca w sprawach bezpieczeństwa powinna umieć opisać własną powierzchnię ataku. Nasza jest celowo bliska zeru:
- Wyłącznie pliki statyczne. Brak systemu zarządzania treścią, panelu administracyjnego, bazy danych i kodu po stronie serwera. Nie ma warstwy aplikacji, którą można by zaatakować.
- Brak zapytań do podmiotów trzecich. Kroje pisma, obrazy i wideo są serwowane z tej domeny. Brak CDN, analityki, menedżera tagów i osadzonych widżetów.
- Brak ciasteczek i pamięci po stronie przeglądarki. Nic nie jest zapisywane w Twojej przeglądarce, więc nie ma na co wyrażać zgody i nie ma czego wykraść.
- Brak formularzy. Nic nigdzie nie jest wysyłane; adres kontaktowy to zwykły odnośnik pocztowy.
- Kontrola wersji i jawność. Każda zmiana na tej stronie to commit w publicznym repozytorium, więc jej historię może prześledzić każdy.
To świadoma zmiana podejścia. Poprzednia strona działała na WordPressie i została przejęta w lipcu 2026 roku. W dniu ataku instalacja była aktualna, ze standardowym motywem i trzema wtyczkami – aktualizowanie oprogramowania, czyli obrona, na której każe się polegać użytkownikom, nie zapobiegło włamaniu. Odpowiedzią nie było utwardzenie tej samej architektury, lecz jej usunięcie. Źródłowy problem zgłosiliśmy zespołowi bezpieczeństwa platformy; opiszemy go tutaj, gdy go oceni i gdy będzie dostępna ewentualna poprawka.
Nasza własna działalność
- Uwierzytelnianie wieloskładnikowe na każdym koncie, które je obsługuje.
- Unikalne, losowo generowane dane logowania dla każdej usługi, przechowywane w menedżerze haseł.
- Materiały klientów przechowywane tylko tak długo, jak wymaga tego zlecenie i prawo, a potem usuwane. Wolimy pracować w Twoich systemach niż trzymać kopie w naszych.
- Poczta na infrastrukturze hostowanej w UE, z opublikowanymi rekordami SPF i DMARC.
- Urządzenia z aktualnymi, wspieranymi systemami operacyjnymi i pełnym szyfrowaniem dysku.
Gdzie uczciwa odpowiedź brzmi „nie”
Jesteśmy małą firmą i nie będziemy udawać, że jest inaczej. WarsawIQ nie ma własnego certyfikatu ISO/IEC 27001, nie prowadzi całodobowego centrum operacji bezpieczeństwa (SOC) i nie ma własnego, formalnego, niezależnie audytowanego zestawu kontroli. Wnosimy ludzi, którzy takie rzeczy budowali i przechodzili z nimi audyty w większych firmach regulowanych. Jeśli Twój proces zakupowy wymaga certyfikowanego dostawcy, a nie certyfikowanego praktyka, powiedz to wcześnie, a od razu odpowiemy, czy możemy temu sprostać.
Zgłaszanie problemu z bezpieczeństwem
Jeśli znajdziesz podatność na tej stronie albo w czymkolwiek, co dla Ciebie zbudowaliśmy, napisz na karol.chlasta@warsawiq.com. Potwierdzimy zgłoszenie w ciągu dwóch dni roboczych, będziemy informować o postępach naprawy i, jeśli zechcesz, wymienimy Cię z nazwiska. Nie będziemy grozić nikomu, kto zgłasza problem w dobrej wierze.