Wybór SaaS w czasach wycieków danych: 7 nieoczywistych pytań o bezpieczeństwo, które musisz zadać dostawcy

Doniesienia o masowych wyciekach danych wstrząsają rynkiem i zmuszają do zadawania trudnych pytań o bezpieczeństwo. Zwykle winowajcą w takich sytuacjach jest tzw. dług techniczny, czyli niewidoczne na pierwszy rzut oka zaniedbania w higienie i aktualizacji kodu, które z czasem generują „odsetki” w postaci krytycznych luk w bezpieczeństwie. Dlatego przy wyborze oprogramowania – nawet jeśli służy „tylko” do PR-u, obsługi witryny firmowej, biura prasowego czy marketingu – w istocie powierzasz dostawcy reputację i ciągłość działania swojej firmy.

Większość dostawców SaaS (Software as a Service) kusi pięknymi interfejsami i obietnicami „najwyższego bezpieczeństwa”. Jak jednak zweryfikować, czy te zapewnienia mają pokrycie w rzeczywistości?

Zamiast pytać o banały, musisz zajrzeć pod maskę technologicznego silnika. Oto 7 twardych, nieoczywistych pytań, które powinieneś zadać każdemu dostawcy oprogramowania przed podpisaniem umowy.

1. „Czy jako klient możemy przeprowadzić niezależny audyt i testy penetracyjne Waszego systemu?”

Wielu dostawców SaaS zamyka swoje środowisko przed klientami, tłumacząc to tajemnicą przedsiębiorstwa. To błąd. Oprogramowanie klasy Enterprise nie powinno bać się audytów zewnętrznych.

Jak jest w netPR.pl? Gramy w otwarte karty. Umożliwiamy naszym Kontrahentom oraz wyznaczonym przez nich audytorom wykonywanie testów penetracyjnych. Ewentualne zidentyfikowane luki klasyfikujemy według surowych standardów OWASP ASVS, MASVS oraz bazy CVE, a następnie bezpłatnie eliminujemy w uzgodnionym terminie.

2. „Czy Wasze SLA obejmuje wsparcie żywego człowieka (H2H), czy w razie kryzysu utknę z botem?”

Kiedy system pada w trakcie kluczowej kampanii lub publikacji raportu giełdowego, liczy się każda minuta. Gwarancja dostępności (SLA) niewiele znaczy, jeśli awarię musisz zgłaszać przez sztuczną inteligencję, która nie rozumie kontekstu biznesowego.

Jak jest w netPR.pl? Zapewniamy gwarantowany czas reakcji do 1 godziny dla zgłoszeń krytycznych (24/7/365). Co najważniejsze – 100% naszego wsparcia realizowane jest przez wykwalifikowanych inżynierów netPR.pl. Zero automatycznych chatbotów na linii wsparcia klienta.

3. „Jak realizujecie aktualizacje systemu? Czy wdrożenie nowej wersji odetnie naszych odbiorców od witryny?”

Regularne aktualizacje są kluczowe. Jednak w wielu systemach wgrywanie łatek oznacza tzw. downtime (niedostępność serwisu).

Jak jest w netPR.pl? Infrastrukturę dzielimy na warstwę prezentacyjną i administracyjną. Aktualizacje przeprowadzamy w ściśle wyznaczonych, nocnych oknach serwisowych (23:00–01:00). Dzięki izolacji warstw, nawet podczas prac modernizacyjnych portale i biura prasowe naszych klientów pozostają całkowicie dostępne dla odwiedzających.

4. „Czy Wasza infrastruktura i procedury są zgodne z wymogami DORA i NIS2?”

Środowisko prawne wokół cyberbezpieczeństwa drastycznie się zaostrza. Nowe unijne dyrektywy (NIS2 oraz DORA) wymuszają na firmach nakładanie rygorystycznych norm na cały łańcuch dostaw IT. Twój dostawca SaaS musi być na to gotowy, inaczej to Ty poniesiesz konsekwencje.

Jak jest w netPR.pl? Architektura netPR.pl jest wdrażana z poszanowaniem certyfikacji ISO, polityk bezpieczeństwa informacji oraz z pełną gotowością na audyty zgodności z regulacjami RODO, DORA i NIS2.

5. „Jak chronicie nas przed przeciążeniem serwerów i zmasowanymi atakami DDoS?”

Twój biznes rośnie, publikujesz przełomowy news i nagle... Twoja strona znika z sieci pod naporem ruchu (lub ataku hakerskiego). Czy dostawca jest na to przygotowany?

Jak jest w netPR.pl? Infrastruktura netPR.pl wykorzystuje rozproszoną sieć CDN (Content Delivery Network), zintegrowane zapory sieciowe (Firewall) i systemy automatycznej mitygacji zagrożeń na urządzeniach brzegowych. Jeśli wykryjemy nienaturalny skok ruchu, filtrujemy go zanim dotrze do głównego serwera.

6. „Co dokładnie stanie się z naszymi danymi po wygaśnięciu umowy?”

Proces offboardingu (zakończenia współpracy) to moment, w którym dane są najbardziej narażone na wyciek lub bezpowrotną utratę. Zanim podpiszesz umowę, musisz wiedzieć, w jaki sposób odzyskasz swoje bazy i pliki.

Jak jest w netPR.pl? Szyfrowane kopie zapasowe (backupy) wykonujemy na koniec każdego dnia do chmury AWS ulokowanej w Europejskim Obszarze Gospodarczym (EOG). Gdy nasza umowa wygasa, dane udostępniamy do samodzielnego pobrania. Następnie w ciągu 30 dni trwale usuwamy je z naszych serwerów, a w kolejnym kroku całkowicie czyścimy z kopii zapasowych.

7. „Kto faktycznie tworzy i utrzymuje kod? Czy technologia nie jest posklejana od podwykonawców?”

Wiele systemów SaaS to „sklejki” różnych wtyczek, modułów zewnętrznych dostawców i kodu pisanego przez zagranicznych podwykonawców. Im dłuższy łańcuch, tym większe ryzyko luki w bezpieczeństwie.

Jak jest w netPR.pl? Jesteśmy polskim systemem CMS klasy Enterprise - całość kodu tworzy nasz własny zespół inżynierów w Polsce. Oznacza to nie tylko spełnienie kryteriów rządowego programu „Local Content. Z korzyścią dla Polski", ale przede wszystkim krótszy i w pełni audytowalny łańcuch dostaw oprogramowania. Żadnych czarnych skrzynek od zewnętrznych podwykonawców, żadnej niejasnej jurysdykcji. Bierzemy pełną odpowiedzialność za każdą linijkę naszego kodu -  bo każdą z nich napisaliśmy sami.

Bezpieczeństwo to proces, a nie jednorazowy projekt

Cyberbezpieczeństwo nie kończy się na wdrożeniu oprogramowania i przeprowadzeniu jednego audytu przy starcie. To ciągła dyscyplina, która musi być wpisana w DNA organizacji. Niezależnie od tego, czy wybierasz system dla swojego biura prasowego, centrum relacji inwestorskich, czy platformę do codziennej komunikacji, nie powinieneś godzić się na kompromisy między wygodą pracy a rygorystyczną ochroną powierzonych danych.

„Nawet najbardziej wyrafinowane mechanizmy obronne zawiodą, jeśli aplikacja zostanie zbudowana na fundamentach pełnych długu technicznego. Pozostawienie w środowisku produkcyjnym niewspieranych bibliotek to w świecie cyfrowym proste proszenie się o katastrofę. Bezpieczeństwo łańcucha dostaw oprogramowania (Software Supply Chain Security) wymaga stałej dyscypliny: zautomatyzowanego skanowania zależności, rygorystycznego zarządzania podatnościami oraz bezkompromisowej zgodności z normami DORA czy NIS2. W netPR.pl traktujemy to jako element codziennej higieny inżynieryjnej, bez którego żaden nowoczesny system klasy Enterprise nie ma prawa funkcjonować.”

- Mirosław Hankus, Chief Information Security Officer w netPR.pl

Wybór odpowiedniego partnera technologicznego to decyzja, która wpływa na stabilność i reputację całego biznesu. Zamiast czekać, aż narastający dług techniczny wymknie się spod kontroli, warto postawić na fundamenty, które zagwarantują Ci cyfrowy spokój.

Jeśli szukasz środowiska, które łączy nowoczesne narzędzia do PR i komunikacji z bezkompromisowym podejściem do bezpieczeństwa danych – porozmawiajmy o tym, jak możemy wesprzeć Twoją organizację.