Zarządzana infrastruktura dla systemów, które nie mogą się zatrzymać.
Projektujemy, uruchamiamy i utrzymujemy środowisko dla serwisów i aplikacji instytucji oraz firm. Z danymi w UE i w Polsce, ochroną przed atakami i monitoringiem. Odpowiadamy za działanie usługi, a nie tylko za wynajęte zasoby.
- Dane
- W UE i w Polsce, domyślnie region Warszawa
- Reakcja P1
- Do 30 min, 24/7 w usługach z SLA
- Ciągłość
- RPO do 1 h · RTO do 4 h
- Nadzór
- Eksport logów do Państwa SOC/SIEM
Usługa, a nie tylko serwery.
Otrzymują Państwo działające, chronione i monitorowane środowisko. Za eksploatację, aktualizacje i reakcję na zdarzenia odpowiada nasz zespół, a całość rozliczana jest jednym miesięcznym ryczałtem.
Infrastruktura w wysokiej dostępności
Aplikacja na co najmniej dwóch węzłach w różnych strefach, baza danych z automatycznym przełączaniem.
WAF i ochrona DDoS
Reguły ochronne, rate limiting, blokady i reakcja na nowe wzorce ataków.
CDN
Szybsze ładowanie treści publicznych i mniejsze obciążenie aplikacji przy nagłym wzroście ruchu.
DNS z DNSSEC
Obsługa stref i rekordów, ochrona integralności odpowiedzi DNS, zmiany na zgłoszenie.
Kopie zapasowe i testy odtworzenia
Automatyczne kopie, retencja, kopie chronione przed modyfikacją i okresowe testy.
Monitoring i alerty
Dostępność, wydajność, baza, WAF, certyfikaty, kopie. Alerty krytyczne trafiają do dyżuru.
Dashboard dla klienta
Wgląd w dostępność, ruch, blokady, kopie i incydenty, bez dostępu do konfiguracji.
Eksport logów do SOC/SIEM
Uzgodnione zdarzenia trafiają do Państwa centralnego systemu, np. Splunk.
Zarządzanie podatnościami
Cykliczne skany, ocena krytyczności, poprawki i ponowny test.
Dostęp administracyjny IAM/MFA
Konta imienne, uwierzytelnianie wieloskładnikowe, najmniejsze uprawnienia, pełny audyt.
STAGING i CI/CD
Każda zmiana najpierw na środowisku testowym, potem kontrolowane wdrożenie z możliwością wycofania.
Helpdesk i raport miesięczny
Obsługa zgłoszeń według priorytetów i comiesięczne zestawienie stanu usługi.
Ruch przechodzi przez kolejne warstwy ochrony, zanim dotrze do aplikacji.
Serwery aplikacji nie muszą być wystawione bezpośrednio do internetu. Ruch użytkowników przechodzi przez zarządzane warstwy: DNS, load balancer, zaporę aplikacyjną i CDN. Dostęp administracyjny odbywa się przez kontrolowane mechanizmy tożsamości.
DNS z DNSSEC
Load balancer
Zapora aplikacyjna (WAF)
CDN
Warstwa aplikacji
Baza danych HA
Magazyn plików i kopii
Tożsamość i dostęp
Infrastruktura. Domyślnie Google Cloud, region europe-central2 (Warszawa), z wysoką dostępnością między strefami regionu. Na życzenie wdrażamy inną infrastrukturę, jeśli spełnia te same wymogi co do lokalizacji danych i bezpieczeństwa.
- Użytkownicyruch HTTPS
- DNSDNSSEC
- Warstwa brzegowaload balancer z health checkami · WAF z regułami i rate limiting · CDN
- Aplikacja w dwóch strefachwęzeł 1 w strefie A, węzeł 2 w strefie B · autohealing i autoscaling
- Baza danych HApodstawowa w strefie A, zapasowa w strefie B · replikacja i automatyczne przełączenie
- Magazyn plików i kopiiretencja · kopie niemodyfikowalne · klasa archiwalna
- Dostęp administracyjnyIAM · proxy tożsamości · MFA · bez publicznego SSH
- Monitoring 24/7alerty do dyżuru · eksport logów do SOC/SIEM klienta · dashboard klienta tylko do odczytu
Ochrona aplikacji i zarządzanie podatnościami.
Przed czym chroni warstwa brzegowa
- SQL Injection, XSS, RCE, LFI/RFI i directory traversal
- automatyczne próby wykorzystania znanych podatności
- brute force i nadużycia na punktach logowania i administracji
- ruch wolumetryczny i nagłe skoki obciążenia
- niedozwolone typy plików i parametry w przesyłanych treściach
- dostęp do paneli administracyjnych spoza wskazanych kanałów
Jak zarządzamy podatnościami
- cykliczne skanowanie infrastruktury i aplikacji
- ocena według CVSS i realnej ekspozycji biznesowej
- priorytetowe wdrażanie poprawek i ponowny test
- przy podatności krytycznej reguła tymczasowa w WAF, zanim wejdzie poprawka
- analiza logów pod kątem wcześniejszego wykorzystania luki
- monitoring komunikatów bezpieczeństwa producentów
Procedury realizowane w ramach usługi
1. Zarządzanie dostępem
2. Zarządzanie zmianą
3. Zarządzanie podatnościami
4. Reakcja na podatność krytyczną
5. Obsługa incydentów
6. Monitoring
7. Kopie i odtwarzanie
8. Logi i SOC
9. Przegląd okresowy
Każdy wie, za co odpowiada.
Podział obowiązków jest zapisany w umowie i dokumentacji. To pierwsze, o co pyta audytor przy usłudze zewnętrznej.
Warstwa chmurowa
Dostawca chmurySieć, load balancing, bazy zarządzane, DNS, magazyn danych, monitoring i ochrona brzegowa.
Platforma i eksploatacja
INOVEOProjekt i utrzymanie platformy, konfiguracja bezpieczeństwa, kopie, monitoring, aktualizacje, wsparcie i proces wdrożeń.
Treść i decyzje
KlientTreści i proces redakcyjny, wskazanie użytkowników, zgłaszanie potrzeb biznesowych i operacyjnych.
Nadzór i eskalacja
SOC klientaOdbiór logów, alertów i raportów oraz udział w eskalacji i obsłudze incydentów.
Czasy reakcji zapisane w umowie.
Incydenty krytyczne obsługujemy w modelu dyżurowym, a standardowy helpdesk w godzinach pracy. Dyżur prowadzi nasz własny zespół.
| Priorytet | Przykład | Czas reakcji | Obsługa |
|---|---|---|---|
| P1 · krytyczny | niedostępność usługi, aktywny incydent bezpieczeństwa | do 30 min | 24/7 |
| P2 · wysoki | poważne ograniczenie działania | do 2 h | rozszerzony |
| P3 · standard | problem funkcjonalny, konfiguracja | do 8 h roboczych | 8/5 |
| P4 · zmiana | treść, drobna modyfikacja | 1–2 dni robocze | 8/5 |
Parametry dotyczą usług objętych umową SLA. Ostateczne wartości, w tym RPO i RTO, potwierdzamy w dokumentacji wdrożeniowej.
Kopie, odtwarzanie i bezpieczny proces zmian.
- ≤ 1 hRPO: dopuszczalna utrata danych
- ≤ 4 hRTO: czas pełnego odtworzenia
- PITRodtwarzanie bazy z punktu w czasie
- immutablekopie chronione przed modyfikacją
Kopie zapasowe
- automatyczne kopie bazy z odtwarzaniem z określonego punktu w czasie
- kopie plików serwisów i konfiguracji
- retencja i blokada przedwczesnego usunięcia chronionych kopii
- starsze kopie w klasie archiwalnej
- alert przy każdym błędzie wykonania kopii
Testy odtworzeniowe
Odtwarzanie jest okresowo testowane w kontrolowanym środowisku, a wynik dokumentowany. Awaria pojedynczego węzła lub przełączenie bazy nie wymaga pełnej procedury disaster recovery, bo obsługuje je architektura.
Wartości RPO i RTO są rekomendacją dla platformy. Ostateczne parametry potwierdzamy w dokumentacji wdrożeniowej.
Proces zmiany
- Git / CI
- STAGING
- test funkcjonalny
- test bezpieczeństwa
- akceptacja
- rolling deployment
- health check
- monitoring po wdrożeniu
Wgląd w usługę bez dostępu do konfiguracji.
Każdy klient otrzymuje dashboard z rolą tylko do odczytu, zabezpieczony tożsamością i MFA.
Dostępność 30 dni
99,98%
29 dni bez przerw1 dzień · P3
Czas odpowiedzi p95 · 24 h
181 ms
zakres 171–201 ms w ciągu doby
Żądania 24 h
1 062 835
65% obsłużone przez CDN
Zablokowane przez WAF 24 h
3 412
najwięcej: boty i skanery (44%)
Ruch żądania na godzinę · 24 h
CDNaplikacja
Stan infrastruktury teraz
- Load balancer2 z 2 węzłów zdrowe
- Aplikacja · strefa Adziała
- Aplikacja · strefa Bdziała
- Baza podstawowadziała
- Baza zapasowareplikacja 0,4 s
- Certyfikat TLSważny 64 dni
Błędy 4xx / 5xx na godzinę · 24 h
4xx5xx
WAF zablokowane według kategorii
- Boty i skanery1 486
- Rate limiting912
- SQL injection504
- XSS311
- Inne reguły199
Kopie i testy odtworzenia
- Kopia bazydziś 03:00
- Kopia plikówdziś 03:20
- Retencja30 dni · niemodyfikowalne
- Test odtworzenia12.09 · zaliczony
SLO i incydenty bieżący miesiąc
- Incydenty otwarte0
- Incydenty zamknięte3 · P3 × 2, P4 × 1
Historia wdrożeń i zdarzeń administracyjnych
- Wdrożenie stopniowe v2.14 · health check poprawnyzakończone
- Logowanie administratora INOVEO · MFA · proxy tożsamościzapisane w audycie
- Reguła WAF zaktualizowana · nowy wzorzec skanowaniaaktywna
- Incydent P3 · spowolnienie odpowiedzi, przyczyna usuniętazamknięty · raport
Dane wykresów w tabeli
| Godzina | CDN | Aplikacja | 4xx | 5xx | p95 |
|---|---|---|---|---|---|
| 00:00 | 12 098 | 4 475 | 55 | 2 | 177 ms |
| 01:00 | 12 546 | 4 721 | 60 | 4 | 181 ms |
| 02:00 | 11 865 | 4 689 | 48 | 4 | 171 ms |
| 03:00 | 11 524 | 4 905 | 34 | 8 | 180 ms |
| 04:00 | 12 466 | 5 811 | 29 | 1 | 178 ms |
| 05:00 | 13 548 | 6 961 | 43 | 1 | 172 ms |
| 06:00 | 14 767 | 8 342 | 79 | 3 | 184 ms |
| 07:00 | 18 496 | 11 359 | 141 | 6 | 178 ms |
| 08:00 | 25 644 | 16 819 | 215 | 9 | 181 ms |
| 09:00 | 33 029 | 22 598 | 232 | 10 | 193 ms |
| 10:00 | 39 639 | 27 544 | 188 | 10 | 187 ms |
| 11:00 | 49 010 | 33 631 | 169 | 11 | 196 ms |
| 12:00 | 57 005 | 37 599 | 234 | 14 | 201 ms |
| 13:00 | 55 963 | 34 645 | 330 | 15 | 192 ms |
| 14:00 | 51 023 | 29 097 | 362 | 14 | 200 ms |
| 15:00 | 47 246 | 24 529 | 312 | 17 | 192 ms |
| 16:00 | 40 464 | 19 055 | 195 | 7 | 184 ms |
| 17:00 | 32 533 | 13 974 | 95 | 4 | 191 ms |
| 18:00 | 29 788 | 11 851 | 59 | 3 | 181 ms |
| 19:00 | 31 157 | 11 767 | 74 | 5 | 182 ms |
| 20:00 | 29 902 | 11 062 | 106 | 6 | 189 ms |
| 21:00 | 25 078 | 9 404 | 117 | 5 | 177 ms |
| 22:00 | 20 819 | 8 173 | 104 | 3 | 182 ms |
| 23:00 | 17 029 | 7 185 | 73 | 1 | 181 ms |
Architektura, która wspiera obowiązki z ustawy o KSC.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa obowiązuje od 3 kwietnia 2026 r. i wzmacnia obowiązki w zakresie zarządzania ryzykiem, bezpieczeństwa systemów oraz obsługi i raportowania incydentów. Usługę projektujemy tak, aby technicznie i organizacyjnie wspierała ich realizację.
- zarządzanie ryzykiem i ewidencja aktywów
- kontrola dostępu, MFA, najmniejsze uprawnienia i audyt działań
- zarządzanie podatnościami, aktualizacjami i łańcuchem dostaw
- ciągłość działania, kopie, odtwarzanie i testy DR
- monitoring, wykrywanie i zachowanie materiału analitycznego
- eskalacja i przygotowanie informacji do raportowania incydentu
- okresowe przeglądy skuteczności i raporty dla kierownictwa
- udokumentowany proces zmian i środowisko STAGING
Ważne. Korzystanie z chmury i wdrożenie opisanych zabezpieczeń nie oznacza automatycznej zgodności z NIS2/KSC. Zgodność wymaga także systemu zarządzania bezpieczeństwem informacji, procedur, oceny ryzyka i odpowiedzialności kierownictwa po stronie organizacji. Pomagamy w części technicznej i dokumentacyjnej.
Od projektu do stabilnej eksploatacji.
- 01
Projekt architektury
Dobór usług, regionu, podział środowisk i polityk bezpieczeństwa.
- 02
Budowa platformy
Infrastruktura, sieć, baza HA, magazyn, monitoring i logowanie.
- 03
Migracja
Przeniesienie serwisu i danych, testy, migracja DNS i certyfikatów.
- 04
Hardening i testy
Reguły WAF, testy bezpieczeństwa i test odtworzenia.
- 05
Dokumentacja
Procedury, dokumentacja powykonawcza i szkolenie administratora.
- 06
Utrzymanie
Start usługi: monitoring, SLA, raporty i rozwój.
Model rozliczenia. Miesięczny ryczałt obejmujący infrastrukturę, bezpieczeństwo, monitoring, kopie, aktualizacje, wsparcie i raportowanie. Pozycje nie są wyceniane osobno. Cena obejmuje usługę jako całość, razem z odpowiedzialnością operacyjną INOVEO.
Pytania, które padają najczęściej.
Gdzie są przechowywane dane?
Czy musimy korzystać z Google Cloud?
Czy hosting zapewnia nam zgodność z ustawą o KSC?
Mamy własny SOC. Jak się z nim integrujecie?
Kto ma dostęp administracyjny do środowiska?
Czy dyżur 24/7 obejmuje każdy hosting?
Powiązane rozwiązania i branże.
Platforma BIP
PlatformaBiuletyn Informacji Publicznej na tej samej architekturze, dla 13 sądów.
PrzejdźEnterprise CMS
PlatformaSerwis instytucji nadzorowanej z regułami publikacji i rejestrem dowodowym.
PrzejdźUtrzymanie i wsparcie
UsługaSLA, helpdesk, monitoring i raporty dla wdrożonych systemów.
PrzejdźPorozmawiajmy o środowisku dla Państwa systemu.
- biuro@inoveo.pl
- Telefon
- +48 512 253 110
- Siedziba
- ul. Bohaterów 30/64, 35-112 Rzeszów