Centuria

10% to niewiele. Szczególnie 8 dni przed terminem samorejestracji.

Nasz CEO, Maciej Kalkowski pisał wczoraj o danych, które otrzymał. W naszej kategorii - usług telekomunikacyjnych i pocztowych - dopiero 10% podmiotów zakończyło proces związany z Wykazem KSC.

Centuria ma ten etap za sobą. Zostaliśmy wpisani, otrzymaliśmy informację z UKE i uzupełniliśmy wymagane dane.

Ale warto podkreślić jedną rzecz! Wpis do Wykazu KSC - niezależnie od tego, czy następuje z urzędu, czy przez samorejestrację - jest dopiero formalnym początkiem. Dla podmiotów zobowiązanych do samorejestracji termin mija 3 października 2026 r.

➡️ Później zostaje to, co z naszej perspektywy najważniejsze, czyli przełożenie wymagań KSC na działającą infrastrukturę, procedury i realną odporność organizacji.

I właśnie o tym będziemy rozmawiać 6 października o 11:00 podczas kolejnego Centuria Live, tym razem dedykowanego rejestratorom domen (i pokrewnym).

Stąd, serdecznie zapraszamy do rejestracji:
https://centuria.pl/webinar/rejestratorzy-domen-wobec-nis2-ksc/?utm_source=organic&utm_medium=post&utm_campaign=nis2&utm_term=dns

87% organizacji działa z co najmniej jedną znaną podatnością w kodzie. Tymczasem nowoczesne modele AI generują działający exploit na podstawie ogólnego opisu błędu w czasie poniżej 1 minuty.

To rzeczywistość, w której luki 0-Day zyskują gotowość bojową w kilkanaście minut po publikacji kodu. Dziś hakerzy nie wybierają celów według obrotów firmy, tylko według liczby niezałatanych błędów na brzegu sieci.

Przed chwilą do skrzynek subskrybentów Centurii trafiło 63. wydanie newslettera Cybersecurity.

5 kluczowych wątków, które poruszyliśmy:

1. StyleSmuggler w Magento i Adobe Commerce (0-Day RCE), o tym informowaliśmy już znacznie wcześniej.
2. Rządowy test PESEL po wycieku z MyDr
Na oficjalnej platformie bezpiecznedane.gov.pl (przygotowanej przez Ministerstwo Cyfryzacji, NASK i CERT) można już sprawdzić, czy Twój PESEL, adres e-mail lub numer telefonu znalazły się w głośnym wycieku z systemów medycznych.
3. Przejęcie 5 000 kont Dropbox przez integrację LenovoID
Oszustom wystarczyło zarejestrować nowe konto LenovoID na adres powiązany z Dropboxem, by uzyskać swobodny dostęp do cudzych plików w chmurze. System integracji nie weryfikował wcześniejszego potwierdzenia tożsamości.
4. 35 mln euro skradzione kancelariom notarialnym
Aż 500 francuskich notariuszy padło ofiarą kampanii BEC (Business Email Compromise). Standardem było procedowanie spraw drogą mailową – przestępcy przejęli korespondencję i bez przeszkód podmienili numery kont bankowych do depozytów.
5. Nowa warstwa ochrony w Androidzie 17
Standard Encrypted Client Hello (ECH) wreszcie wchodzi do urządzeń mobilnych – szyfrowanie parametru SNI w protokole TLS uniemożliwi podgląd odwiedzanych domen operatorom sieci oraz fałszywym stacjom bazowym (SMS blasterom).

W cyberbezpieczeństwie nie ma drogi na skróty. Wstrzymywanie aktualizacji ze strachu przed awarią to proszenie się o kłopoty, ale instalowanie wszystkiego na oślep niesie ze sobą własne ryzyka.

Dołącz do bazy czytelników newslettera Centurii 😉
https://centuria.pl/newsletter/

Co wczoraj wybrzmiało najmocniej na naszym webinarze o odporności IT w finansach?

➡️ Trzy proste zasady:
1. Nie wierz w deklarowane RTO tylko dlatego, że ktoś wpisał 4 godziny w umowie. Zmierz je ze stoperem w ręku.
2. Zapasowa baza w tym samym public cloudzie to nie Disaster Recovery. Jeśli dostawca zaliczy błąd, leżysz razem z nim.
3. Lepiej zamknąć 2 kluczowe ryzyka w infrastrukturze niż otworzyć 20 papierowych projektów na raz.

Jeśli nie było Cię wczoraj na żywo z dr Maciej Kalkowski i Mikołaj Mielczarek - nagranie oraz komplet slajdów PDF dostępne na naszej stronie.

👉 Link do nagrania i prezentacji:
https://centuria.pl/webinar/6-centuria-live-dora-nis2-i-ksc-w-finansach-gdzie-konczy-sie-compliance-a-zaczyna-odpornosc-it/

Jeżeli dostarczasz oprogramowanie dla banku lub FinTechu to jutrzejszy webinar może być dla Ciebie kluczowy na nadchodzący ostatni kwartał tego roku.

Wiele software house'ów i dostawców SaaS zakłada, że rozporządzenie DORA (ale także NIS2 i KSC) dotyczy wyłącznie banków i instytucji płatniczych. To kosztowny błąd w ocenie ryzyka.

Instytucje finansowe podlegające pod nadzór KNF są zobowiązane do bezwzględnego audytowania całego łańcucha dostaw ICT (Third-Party Risk Management). W praktyce oznacza to, że bank nie podpisze ani nie przedłuży kontraktu z dostawcą, który nie potrafi wylegitymować się:

- dowodami z regularnych testów odtwarzania środowisk (RTO i RPO),
- udokumentowaną architekturą wysokiej dostępności (High Availability),
- jasnymi procedurami reagowania na incydenty w pierwszych godzinach od wykrycia,
- procedurą bezpiecznego przeniesienia danych (exit plan).

Zamiast czekać na trudne pytania w arkuszach audytowych od klientów bankowych, warto uporządkować infrastrukturę już teraz.

📅 Kiedy: 15 września (wtorek) o 11:00
Prelegenci: dr Maciej Kalkowski & Mikołaj Mielczarek
➡️ https://centuria.pl/webinar/6-centuria-live-dora-nis2-i-ksc-w-finansach-gdzie-konczy-sie-compliance-a-zaczyna-odpornosc-it/?utm_source=organic&utm_medium=post&utm_campaign=dora-nis2-ksc

Backup masz wtedy, gdy masz kopię. Disaster Recovery zaczyna się wtedy, gdy potrafisz z niej wrócić do działania w wymaganym czasie.

I właśnie tę różnicę coraz mocniej weryfikują regulacje takie jak DORA, NIS2. Nie wystarczy więc wiedzieć, że „backup jest wykonywany”. Trzeba znać odpowiedzi na pytania: ile danych możemy stracić, jak szybko odtworzymy usługę i czy ktoś rzeczywiście przetestował ten scenariusz.

O RTO, RPO, ciągłości działania, dostawcach ICT i realnych dowodach odporności porozmawiamy już w najbliższy wtorek.

📅 15.09.2026 🕚 11:00
DORA, NIS2 i KSC w finansach. Gdzie kończy się compliance, a zaczyna odporność IT?

➡️ Jeśli temat dotyczy Twojej organizacji - zapraszamy.
https://centuria.pl/webinar/6-centuria-live-dora-nis2-i-ksc-w-finansach-gdzie-konczy-sie-compliance-a-zaczyna-odpornosc-it/?utm_source=organic&utm_medium=post&utm_campaign=dora-nis2-ksc

Krytyczna podatność Zero-Day w Magento i Adobe Commerce

Sansec wykrył StyleSmuggler - podatność umożliwiającą zdalne wykonanie kodu bez uwierzytelnienia. Ataki trwają od 4 września, a problem dotyczy aktualnych wersji Magento i Adobe Commerce, w tym 2.4.9.

Adobe zapowiedziało najbliższą aktualizację bezpieczeństwa na 8 września, ale na ten moment nie ma jeszcze potwierdzenia, że obejmie ona StyleSmuggler.

Do czasu oficjalnej poprawki kluczowe jest sprawdzenie środowiska pod kątem oznak kompromitacji i wdrożenie tymczasowych zabezpieczeń.

Szczegóły, IoC i rekomendacje opisujemy na blogu.
https://centuria.pl/blog/stylesmuggler-w-magento-i-adobe-commerce-zero-day-rce-aktywnie-wykorzystywany-w-atakach/

Dostarczasz oprogramowanie lub chmurę dla banku lub FinTechu? DORA uderza w Ciebie bezpośrednio.

Wiele software house'ów i dostawców SaaS zakłada, że rozporządzenie DORA dotyczy wyłącznie banków i instytucji płatniczych.

To kosztowny błąd w ocenie ryzyka! 💸

Instytucje finansowe podlegające pod nadzór KNF są zobowiązane do bezwzględnego audytowania całego łańcucha dostaw ICT (Third-Party Risk Management). W praktyce oznacza to, że bank nie podpisze ani nie przedłuży kontraktu z dostawcą, który nie potrafi wylegitymować się:

🔸 twardymi dowodami z regularnych testów odtwarzania środowisk (RTO i RPO),
🔸 udokumentowaną architekturą wysokiej dostępności (High Availability),
jasnymi procedurami reagowania na incydenty w pierwszych godzinach od wykrycia,
🔸 procedurą bezpiecznego przeniesienia danych (exit plan).

Zamiast czekać na trudne pytania od klientów bankowych, warto uporządkować infrastrukturę już teraz.

Zapraszamy na techniczny webinar na żywo:
👉 DORA, NIS2 i KSC w finansach. Gdzie kończy się compliance, a zaczyna odporność IT?

Pokażemy, czego instytucje finansowe będą wymagać od swoich partnerów technologicznych i jak inżynieryjnie przygotować infrastrukturę, aby zamienić wymogi DORA w przewagę konkurencyjną podczas przetargów.

Prelegenci: dr Maciej Kalkowski & Mikołaj Mielczarek

📅 Kiedy: 15 września (wtorek) o 11:00

Link do rejestracji znajdziesz w pierwszym komentarzu.

Audytor KNF nie ocenia dobrych chęci. Weryfikuje twarde logi i działającą infrastrukturę.

W sektorze finansowym rozporządzenie DORA i nowelizacja KSC wywołały falę ofert z gotowymi szablonami dokumentacji. Firmy płacą za opasłe tomy procedur w PDFach, które w teorii pokrywają każdy artykuł rozporządzenia.

⚠️ Problem pojawia się w momencie rzeczywistej awarii lub szczegółowej kontroli nadzorcy.

Gdy padnie węzeł transakcyjny lub kluczowa baza danych, żaden segregator z procedurami nie przywróci działania systemów w wymaganym czasie RTO. DORA przenosi punkt ciężkości z deklaracji prawnych na operacyjną odporność cyfrową.

Oznacza to konieczność udowodnienia:
-> jak w praktyce wyglądają Wasze testy Disaster Recovery i procedury odtworzeniowe,
-> w jaki sposób weryfikujecie realne SLA i podwykonawców w łańcuchu dostaw ICT,
-> czy posiadacie sprawny i przetestowany plan wyjścia (exit strategy) dla usług chmurowych.

Żeby pokazać, jak przełożyć regulacje na działającą architekturę IT, organizujemy bezpłatny webinar:

👉 DORA, NIS2 i KSC w finansach. Gdzie kończy się compliance, a zaczyna odporność IT?

Podczas spotkania nasz CEO dr Maciej Kalkowski oraz Mikołaj Mielczarek (Customer Success Manager) pokażą inżynieryjną praktykę wdrożeń w bankowości, instytucjach płatniczych i FinTechu.

70% infrastruktura i praktyka / 30% ram regulacyjnych.

📅 Kiedy: 15 września 2026 r. (wtorek) o 11:00
💻 Format: webinar live + otwarta sesja Q&A

Link jak zwykle w komentarzu ⤵️

Serwer może być uruchomiony, a środowisko nadal nie być gotowe na produkcję. I właśnie ten moment często jest niedoszacowany.

Bo produkcja to nie tylko CPU, RAM i system operacyjny. To cały układ zależności: sieć, dostęp, bazy danych, cache, routing, monitoring, backup, proces odtwarzania, dokumentacja i zachowanie usług po restarcie.

👉 Najwięcej problemów nie wychodzi przy pierwszym uruchomieniu. Wychodzi później - przy awarii, zmianie, wzroście ruchu albo zwykłym restarcie.

Dlatego przed oddaniem środowiska na produkcję warto odpowiedzieć sobie na kilka pytań:
🔸 czy wiemy, co uruchomi się automatycznie po restarcie?
🔸 czy backup został nie tylko skonfigurowany, ale też zweryfikowany?
🔸 czy monitoring obejmuje wszystkie krytyczne usługi?
🔸 czy dostęp i ruch są właściwie odseparowane?
🔸 czy architektura i konfiguracja są aktualnie udokumentowane?
🔸 czy wiadomo, kto odpowiada za każdą warstwę?

Nie każde środowisko potrzebuje Kubernetes, rozbudowanego HA czy klastra.

👉 Każde natomiast powinno być zaprojektowane proporcjonalnie do znaczenia systemu, obciążenia, ryzyka i wymagań biznesowych.

Najdroższe zdanie podczas migracji?
„Myśleliśmy, że zrobi to druga strona”.

I właśnie od tego zaczyna się ping-pong między infrastrukturą, agencją i klientem. A wraz z nim wydłużone okno migracyjne, praca pod presją i ryzyko przestoju sprzedaży.

Zobacz, jak (według nas) powinien wyglądać jasny podział odpowiedzialności:
👉 partner infrastrukturalny przygotowuje środowisko, sieć, usługi,
👉 monitoring, backupy i bezpieczeństwo,
👉 agencja developerska odpowiada za kod, konfigurację aplikacji, integracje, testy i deployment,
👉 klient potwierdza, że kluczowe procesy biznesowe działają zgodnie z wymaganiami.

Dobra migracja nie zaczyna się od kopiowania danych. Zaczyna się od ustalenia kto, co i kiedy sprawdza, kto daje zielone światło oraz kiedy uruchamiamy rollback.

➡️ Dopiero gdy każda strona potwierdzi swój obszar, można bezpiecznie przełączyć ruch.

Planujesz migrację sklepu lub aplikacji? Porozmawiajmy o środowisku i procesie, który nie zostawia miejsca na domysły.