Warstwa dowodowa, governance, compliance i raportowania spinająca wyniki pentestów oraz incydenty w jeden, audytowalny łańcuch. To specyfikacja referencyjna architektury docelowej — manifest tego, czym system JEST i czym NIE JEST.
Evidence & Resilience Orchestrator to szyna, która przyjmuje surowe wyniki (pentest, skan, log SIEM, zgłoszenie, ustalenie red-team), normalizuje je do wspólnego modelu, waży dowodem, mapuje na obowiązki prawne, zamienia w playbook, a po naprawie żąda dowodu re-testu. Wynik: raport dla zarządu i organu, który da się obronić w audycie.
Orkiestrator to warstwa dowodowa i governance nad istniejącymi narzędziami bezpieczeństwa. Spina rozproszone wyniki w jeden łańcuch odpowiedzialności.
Każdy wynik nosi dowód: hash, log, URL, screenshot, chain of custody, poziom pewności 0–100. Bez dowodu ustalenie = hipoteza (GAP).
Właściciel ryzyka, akceptacja, human-in-the-loop dla P0/P1, ścieżka eskalacji. Kto zdecydował, kiedy i na jakiej podstawie.
Mapowanie wyników na AI Act, NIS2, KSC, RODO, DORA-adjacent. Zegary raportowe, flagi obowiązku zgłoszenia.
Common Source of Truth — jeden stan prawdy dla zarządu, SOC, audytu i organu. Raport eksportowalny, wersjonowany, podpisywalny.
Ustalenia z pentestów (torA/torB w RoE) trafiają do wspólnego rejestru: severity, dowód, status naprawy, dowód re-testu.
Incydent cyber i incydent AI jako równoprawne klasy. Jeden łańcuch od intake do zamkniętej pętli odporności.
| NIE jest | Dlaczego to ważne |
|---|---|
| Nie skaner / nie narzędzie ataku | Nie uruchamia skanów ani exploitów. Przyjmuje wyniki cudzych narzędzi. Zero payloadów. |
| Nie C2 (command & control) | Nie steruje implantami ani sesjami. Nie ma kanału sterowania celem. |
| Nie exploiter / nie hack-back | Żadnego działania ofensywnego poza pisemnym RoE. Brak automatycznej odpowiedzi na cel. |
| Nie certyfikator | Nie wydaje certyfikatów zgodności. Dostarcza dowód i mapowanie — decyzję podejmuje uprawniony organ / audytor. |
| Nie opinia prawna | Mapuje na treść przepisów (norma/ramka). Nie zastępuje kancelarii ani stanowiska regulatora. |
| Nie przypisuje winy bez dowodu | Atrybucja tylko przy statusie CONFIRMED z dowodem. Domysł to GAP, nie oskarżenie. |
Osiem warstw, jeden przepływ. Każda warstwa ma własną stronę-spec (odnośniki w subnav i mapie modułów poniżej).
ŹRÓDŁA ORKIESTRATOR (evidence + governance) ODBIORCY
┌──────────┐
│ pentest │──┐
│ skan/CVE │ │ ┌───────────────┐ ┌──────────────┐ ┌──────────────┐
│ SIEM/log │ ├──▶│ K0-CONNECTORS │──▶│ K0-NORMALIZE │──▶│ K0-TRUTH │──┐
│ CERT/OSINT│ │ │ adaptery we/ │ │ wspólny model│ │ dowód, status│ │
│ AI red-tm│──┘ │ wy, RoE-gate │ │ dedup, mapa │ │ pewność 0-100│ │
│ zgłoszenie│ └───────────────┘ └──────────────┘ └──────┬───────┘ │
└──────────┘ │ │
▼ │
┌──────────────┐ ┌──────────────┐ │
│ K0-LEGAL │◀──│ (routing) │◀───────────┘
│ AI Act/NIS2/ │ └──────┬───────┘
│ KSC/RODO/DORA│ │
└──────┬───────┘ ▼
│ ┌──────────────┐ ┌──────────────┐
└─────────▶│ K0-RESPONSE │──▶│ K0-EVIDENCE │
│ playbook + │ │ rejestr, │
│ re-test dowód│ │ chain-of-cust│
└──────────────┘ └──────┬───────┘
▼
┌──────────────┐
│ K0-BOARD │──▶ zarząd
│ CSoT, raport │──▶ SOC
│ eksport organ│──▶ KNF/CSIRT
└──────────────┘
Diagram poglądowy architektury docelowej (dev-doc §3). Strzałki = przepływ dowodu, nie ruch sieciowy do celu. RoE-gate w K0-CONNECTORS blokuje wszystko poza pisemnym zakresem.
Adaptery wejścia/wyjścia dla pentestów, skanów, SIEM, CERT, AI red-team. Bramka RoE — nic poza pisemnym zakresem.
Sprowadzenie surowych wyników do wspólnego modelu: dedup, taksonomia, mapowanie pól, korelacja.
Silnik prawdy: status dowodowy, poziom pewności 0–100, reguła claim ≤ proof, wykrywanie GAP.
Warstwa dowodów: hash SHA-256, log, IoC, chain of custody, wersjonowanie, podpis. Rejestr weryfikowalny.
Silnik prawny: mapowanie na AI Act art.73, NIS2 24h/72h, KSC, RODO art.33/34. Zegary i flagi obowiązku.
Mapowanie na ramy DORA-adjacent i testy TIBER-EU. Ślad dla sektora finansowego i regulatora.
Dobór playbooka, kroki reakcji, human-in-the-loop dla P0/P1, obowiązkowy dowód re-testu przy zamknięciu.
Ustalenia z red-team AI/agentowego: prompt injection, agent hijack, ekstrakcja modelu — tylko w RoE.
Kolejność wdrożenia warstw, kamienie milowe, kryteria „LIVE" wg §16 (kod+test+endpoint).
Poniższe elementy mają pokrycie w kodzie i są weryfikowalne dzisiaj. Reszta orkiestratora pozostaje ROADMAP.
/api/ip3/* serwują dane portalu ipIII (tylko odczyt, bez mutacji celu). Fundament pod K0-BOARD / CSoT.| Element | Status | Dowód / uwaga |
|---|---|---|
Read-path API /api/ip3/* | LIVE | Odczyt danych portalu; brak operacji na celu |
| Smoke test prod (wdrożeniowy) | LIVE | snapshot dostępności stron; kanon testów: Evidence Matrix |
| PoC auth-skeleton | LIVE | Szkielet, nie system produkcyjny |
| K0-CONNECTORS / write-path | ROADMAP | Projekt; brak kodu+testu+endpointu |
| K0-NORMALIZE / K0-TRUTH | ROADMAP | Specyfikacja modelu, nie implementacja |
| K0-LEGAL zegary raportowe | ROADMAP | Mapowanie na treść przepisów jako ramka |
| K0-RESPONSE re-test loop | ROADMAP | Kontrakt zamknięcia pętli, nie wdrożenie |
| /api/incidents wiring | GAP | Otwarte; wymaga podłączenia write-path |