Wykryj każde CVE, które zagraża Twoim serwerom.
Jeden skrypt, jeden klucz API. Twoje maszyny skanują się samodzielnie przez Trivy, wysyłają wyniki do platformy i w sekundy masz priorytetyzowany dashboard podatności gotowy do audytu.
Bez karty kredytowej. 14 dni trial. Anuluj kiedy chcesz.
Tak zaczynasz. Jedna komenda.
Co to jest CVE?
Każda podatność ma unikalny identyfikator CVE. Platforma wzbogaca każde CVE o prawdopodobieństwo exploitacji EPSS, status KEV i ocenę CVSS - zawsze wiesz, gdzie skupić uwagę najpierw.
Common Vulnerabilities and Exposures
Ustandaryzowany identyfikator (np. CVE-2024-1234) dla każdej publicznie znanej podatności bezpieczeństwa.
National Vulnerability Database
Oficjalny rządowy rejestr CVE (USA) wzbogacony o oceny CVSS i szczegóły techniczne.
Common Vulnerability Scoring System
Skala 0–10 oceniająca stopień ryzyka: Critical (9–10), High (7–8.9), Medium (4–6.9), Low (0–3.9).
Exploit Prediction Scoring System
Prawdopodobieństwo (0–100%) że podatność zostanie aktywnie wykorzystana w ciągu 30 dni.
Known Exploited Vulnerabilities
Lista CISA z CVE potwierdzonymi w realnych atakach. Najwyższy priorytet łatania - brak wymówek.
End of Life / Koniec wsparcia
Data po której producent przestaje wydawać łatki bezpieczeństwa. Maszyny na EOL OS to najwyższa kategoria ryzyka.
Skala CVSS Severity
Flaga KEV nadpisuje każdą ocenę CVSS - podatność aktywnie wykorzystywana wymaga natychmiastowego działania niezależnie od wyniku liczbowego.
Jak to działa?
Żadnych demonów, żadnych kontenerów. Jeden skrypt bash z Trivy - branżowym skanerem open source. Dane trafiają do platformy wyłącznie przez Twój klucz API. Żadne dane wrażliwe nie opuszczają Twojej maszyny.
Pobierz skrypt audytowy
Jeden skrypt Bash (secvalis.sh). Automatycznie instaluje Trivy jeśli nie jest obecne. Wymaga tylko curl i jq - standardowych na każdym serwerze Linux.
Skan lokalnie - tylko wyniki opuszczają maszynę
Trivy skanuje pełny rootfs i uruchomione kontenery Docker. Maszynę opuszczają metadane podatności (ID CVE, nazwy pakietów, wersje) oraz podstawowe dane maszyny potrzebne do przypisania skanu: etykieta, nazwa hosta, dystrybucja i jej wersja, wersja agenta, strefa czasowa i status skanu. Nigdy Twoje pliki, konfiguracje ani sekrety.
Platforma analizuje i priorytetyzuje
Wyniki są wzbogacane o dane NVD, prawdopodobieństwo exploitacji EPSS i status KEV w czasie rzeczywistym. Dashboard pokazuje dokładnie co naprawić dziś, a co może poczekać.
Autoryzacja kluczem API
Jeden klucz na projekt. Wszystkie maszyny w projekcie raportują pod ten klucz. Odwołaj kiedy chcesz.
Brak agentów, brak demonów
Zadanie cron lub jednorazowe. Nic nie działa 24/7.
Wyłącznie HTTPS
Cały ruch szyfrowany w przesyłaniu.
Pełna widoczność Twojej floty
Od widoku całej floty do szczegółów pojedynczego CVE - każdy ekran zaprojektowany pod szybki triage.
Zbudowany dla regulowanych środowisk
Generuj raporty PDF dla ISO 27001 i governance EOL jednym kliknięciem - bez ręcznego zbierania danych.
ISO 27001 A.8.8
Dowód procesu zarządzania podatnościami - raport PDF z wynikami, akcjami i harmonogramem remediacji.
NIS2
Dyrektywa NIS2 - śledź posturę podatności całej floty z pełną ścieżką audytową.
EOL Governance
Zarządzaj ryzykiem końca wsparcia OS z planami migracji, właścicielem i akceptacją ryzyka - ISO 27001 A.8.9.
ISO 27001 A.5.18
Eksportowalny dziennik audytowy - kto/co/kiedy zmienił na koncie. Dowód rozliczalności praw dostępu i zarządzania zmianą (A.8.32).
Ustawa o KSC już obowiązuje. Audytor zapyta o zarządzanie podatnościami - miej gotowe dowody.
Od 3 kwietnia 2026 r. znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa (wdrażająca dyrektywę NIS2) obejmuje, według Ministerstwa Cyfryzacji, około 38 tys. podmiotów w Polsce, w tym około 27 tys. podmiotów publicznych. Jednym z obowiązkowych środków zarządzania ryzykiem jest obsługa i ujawnianie podatności, a przy audycie trzeba umieć wykazać, że ten proces działa i jest udokumentowany.
Terminarz ustawowy
9 dni do zamknięcia okna na złożenie wniosku o wpis do Wykazu KSC (2026-10-03). Okno wynika z komunikatu ministra i może zostać zmienione.
- 3.10.2026
Termin wpisu do Wykazu podmiotów kluczowych i ważnych (samorejestracja: złożenie wniosku; część podmiotów wpisywana z urzędu)
Inwentaryzacja maszyn i podatności = wiesz, co masz, zanim to zadeklarujesz.
- 3.04.2027
Wdrożenie środków zarządzania ryzykiem (w tym proces obsługi podatności)
Ciągły skan, priorytetyzacja EPSS/KEV, statusy i audit trail = działający, udokumentowany proces.
- 3.04.2028
Pierwszy audyt cyberbezpieczeństwa podmiotów kluczowych, które wcześniej nie były operatorami usług kluczowych (potem co 3 lata)
Evidence Pack: raporty PDF, CSV z historią decyzji, manifest SHA-256 - dowody z obszaru zarządzania podatnościami w jednym ZIP.
Co konkretnie wspiera Secvalis
- Inwentaryzacja aktywów i podatności - automatyczny rejestr maszyn, pakietów i CVE, zawsze aktualny (ISO 27001 A.8.8).
- Udokumentowany proces obsługi podatności - każda podatność ma status, decyzję i termin; świadomie zaakceptowane ryzyko ma właściciela i uzasadnienie; nic nie ginie w mailach.
- Dowody dla audytora - Evidence Pack na żądanie: nie składasz dokumentacji na tydzień przed audytem, tylko klikasz Eksportuj.
- Odpowiedzialność zarządu - dashboard i raporty cykliczne dają kierownictwu bieżący wgląd w stan podatności, przydatny przy realizacji obowiązków nadzorczych.
Secvalis wspiera realizację wybranych wymagań ustawy o KSC i dyrektywy NIS2 w obszarze zarządzania podatnościami. Nie zastępuje pełnego wdrożenia SZBI, audytu zgodności ani porady prawnej. Zakres obowiązków Twojej organizacji zależy od jej klasyfikacji - zweryfikuj go z doradcą.
Czy nie wystarczy darmowy skaner?
Uczciwe porównanie samodzielnego Trivy, Secvalis i skanerów enterprise - razem z tym, czego nam jeszcze brakuje.
Przeczytaj: czy darmowy Trivy wystarczy do KSC?Najnowsze z bloga
Zgodność, podatności i dowody dla audytora
Polityka bezpieczeństwa to nie dowód, że proces KSC działa
Mechanizm może zwracać zielony status i obejmować ułamek zakresu. Historia z katalogu KEV na własnej flocie i wnioski dla dokumentacji operacyjnej.
- KSC
- SZBI
- Dowody
Pierwszy audyt KSC: kto ma termin do 3 kwietnia 2028 i kiedy zacząć zbierać dowody
Stała data 3 kwietnia 2028 dotyczy jednej kohorty podmiotów, reszta liczy termin od siebie. Historia procesu i tak musi powstawać podczas pracy.
- KSC
- Audyt
- Dowody
Co naprawdę siedzi na dziewięciu zwykłych serwerach
Surowe liczby z mojej własnej infrastruktury: 165 608 otwartych pozycji, z czego dziewięćdziesiąt procent czeka na poprawkę od dystrybucji, a realnie do zrobienia jest trzysta dziesięć rzeczy.
- Podatności
- Priorytetyzacja
- Dane
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.
Prosty, przejrzysty cennik
Zacznij za darmo. Bez karty kredytowej.
STARTER
Małe firmy i zespoły
Wszystko co jest dziś i każda funkcja dodana w przyszłości.
PRO
Rosnące zespoły infrastrukturalne
Wszystko co jest dziś i każda funkcja dodana w przyszłości.
BUSINESS
Większe środowiska i MSP
Wszystko co jest dziś i każda funkcja dodana w przyszłości.
ENTERPRISE
Nieograniczona skala, dedykowane SLA
Wszystko co jest dziś i każda funkcja dodana w przyszłości.
Wszystkie plany zawierają 14 dni bezpłatnego trialu. Zacznij dziś - bez karty kredytowej.
Secvalis jest w fazie aktywnego rozwoju - i to Twoja przewaga. Pierwsi klienci mają bezpośredni kontakt z założycielem i realny wpływ na kolejność prac: mówisz, czego potrzebujesz najszybciej, a to trafia na szczyt roadmapy.
Co zawiera platforma?
Każda funkcja poniżej jest dostępna w każdym płatnym planie - od pierwszego dnia i wraz z rozwojem platformy. Płacisz za sloty maszyn i retencję, nie za odblokowywanie funkcji.
Skanowanie CVE przez Trivy
Jeden skrypt bash instaluje Trivy i wykonuje pełny skan OS, zainstalowanych pakietów i uruchomionych kontenerów Docker. Poza maszyną trafiają tylko metadane CVE - żadnych plików, konfiguracji ani sekretów.
Wzbogacanie CVSS · EPSS · KEV
Każde CVE jest automatycznie wzbogacane o ocenę CVSS (0–10), prawdopodobieństwo exploitacji EPSS (%) i flagę CISA KEV. Trzy źródła danych w jednym widoku - wiesz gdzie skupić uwagę jako pierwsze.
Śledzenie statusów remediacji
Oznaczaj pojedyncze CVE jako In Progress, Accepted Risk lub Fixed - bezpośrednio z widoku maszyny. Dostępne akcje masowe. Historia statusów jest zachowywana i eksportowalna.
Historia skanów i analiza trendów
Każdy skan jest przechowywany z deltą względem poprzedniego. Śledź czy postura bezpieczeństwa się poprawia w czasie i natychmiast wykrywaj regresje.
Raport ISO 27001 A.8.8 PDF
Jednym kliknięciem generujesz raport PDF obejmujący pełny proces zarządzania podatnościami: wyniki, akcje remediacyjne i harmonogram. Gotowy dla zewnętrznych audytorów - bez ręcznego zbierania danych.
Governance EOL floty
Widź które maszyny mają systemy z kończącym się wsparciem, ile dni pozostało, kto jest właścicielem migracji, jakie są daty docelowe i decyzje o akceptacji ryzyka. Zgodne z ISO 27001 A.8.9.
Eksport PDF i CSV
Eksportuj dowolny snapshot maszyny lub podsumowanie floty do PDF lub CSV. CSV zgodny z RFC 4180 z BOM dla poprawnego renderowania w Excel. Każdy eksport jest gotowy do audytu.
Pakiet dowodów (jeden ZIP za okres)
Wygeneruj jeden ZIP za dowolny okres audytu: raporty PDF (zarządczy, ISO 27001, EOL), rejestry CSV (akceptacje ryzyka, dziennik audytowy), maszynowo-czytelny dataset JSON i manifest SHA-256. Wręcz audytorowi ISO 27001 / NIS2 jeden integralny pakiet zamiast klikania pięciu osobnych eksportów.
Powiadomienia email i Telegram
Zaplanowany dzienny digest dostarcza nowe CVE do skrzynki lub na kanał Telegram. Wybierasz godzinę wysyłki, liczoną w strefie czasowej konta.
Rola AUDITOR
Zaproś zewnętrznych audytorów lub zespoły compliance jako tylko-do-odczytu. Widzą wyniki i raporty - bez dostępu do kluczy API, rozliczeń ani konfiguracji.
Dziennik audytowy
Kluczowe działania są rejestrowane: kto, co i kiedy. Dziennik tylko do dopisywania, dostępny dla roli AUDITOR, eksportowalny do CSV. Przydatny materiał przy dokumentowaniu procesu na potrzeby ISO 27001 i NIS2.
Wiele projektów w jednym koncie
Podziel maszyny na osobne projekty w jednym koncie, każdy z własnym składem zespołu i raportowaniem. Przydatne dla MSP, holdingów lub zespołów z oddzielnymi środowiskami.
Tłumacz CVE
Opisy CVE z NVD są po angielsku. Wbudowany translator renderuje je po polsku - przyspiesza triage dla zespołów które na co dzień nie pracują po angielsku.
API i integracje
Klucz API projektu, endpoint audytu agenta i eksport Prometheus /metrics - scrapuj podatności swojej floty do własnego Prometheusa i wykresuj na Grafanie.
Rejestr incydentów
Zapisuj incydenty bezpieczeństwa wraz z osią czasu, klasyfikacją i osobami zaangażowanymi. NIS2 nakłada na podmioty objęte ustawą obowiązek zgłaszania incydentów; rejestr trzyma materiał potrzebny do zgłoszenia, zamiast odtwarzania go po fakcie z pamięci.
Zamknięcie okresu
Zamroź zamknięty okres raportowy: zestaw dowodów zostaje zapisany jako snapshot i zahaszowany SHA-256, więc późniejsza zmiana rozjedzie się z zapisanym skrótem. Zamknięcia dokonuje OWNER lub ADMIN, pozostali tylko je odczytują.
Mapa pokrycia dowodami
Zobacz od razu, które wymagania mają już dowody, a które nie - zanim lukę znajdzie audytor. Dostępna dla ról OWNER, ADMIN i AUDITOR.
Polityka zarządzania podatnościami
Pobierz gotowy dokument polityki zarządzania podatnościami, spójny z tym, jak platforma faktycznie działa. Audytor pyta o spisaną politykę, nie tylko o wyniki skanów.
Kolejka: co naprawić najpierw
Jedna uporządkowana lista odpowiadająca na jedyne pytanie, które ma znaczenie w poniedziałek rano: którą podatność naprawić jako pierwszą. Kolejność wynika z powagi, prawdopodobieństwa exploitacji i statusu KEV łącznie, a nie z samego CVSS.
Przypisania i Moje zadania
Przypisz podatność do osoby, a ona otworzy jeden ekran z własnym zakresem pracy. Remediacja przestaje być wspólną listą, za którą nikt nie odpowiada.
Terminowość remediacji (SLA)
Ustal terminy naprawy podatności i śledź, co naprawiono w terminie, co jest po terminie, a co pozostaje poza pomiarem. Ten procent to liczba, o którą pyta audytor.
Logowanie dwuskładnikowe (TOTP)
Zabezpiecz samo konto: TOTP z dowolnej aplikacji uwierzytelniającej, kody odzyskiwania i zaufane urządzenia, plus wylogowanie ze wszystkich urządzeń jednym kliknięciem. Włączane per użytkownik, w każdym planie.
Slack, Teams, Discord i webhooki
Alerty o nowych CVE i digesty trafiają tam, gdzie zespół już pracuje. Każdy przychodzi jako natywna karta, nie surowy link: Slack Block Kit, Teams Adaptive Card, Discord embed. Jest też uniwersalny webhook do własnych narzędzi i przycisk Testuj, żeby potwierdzić dostarczenie, zanim na tym polegniesz.
Cykliczny raport zarządczy
Tygodniowy albo miesięczny PDF dla zarządu, wysyłany mailem według własnego harmonogramu. Cykl ustawiasz per konto, a ten sam raport pobierzesz z panelu w dowolnym momencie.
Audytujesz albo wdrażasz ISO 27001? Twoje konto jest bezpłatne.
Pełne konto, bez ekranów płatności i bez prowizji od czegokolwiek. Pracujesz w Secvalisie tak samo jak Twoi klienci, więc znasz dowody, zanim o nie poprosisz.
Poznaj warunki i zgłoś sięNajczęściej zadawane pytania
Produkt i zakres
Czym Secvalis różni się od samego Trivy?
Trivy to świetny skaner - ale skaner daje Ci listę CVE, nie proces. Secvalis dokłada wszystko, czego wymaga audyt i codzienna praca: centralny rejestr wszystkich maszyn, priorytetyzację (CVSS + EPSS + KEV), statusy i decyzje z audit trail, raporty dla zarządu i audytora, powiadomienia oraz historię w czasie. Krótko: Trivy odpowiada na pytanie „co jest podatne teraz na tej maszynie”, Secvalis - „jak wygląda i jak jest udokumentowany proces zarządzania podatnościami w całej firmie”.
Jakie systemy są wspierane?
Serwery Linux: Ubuntu, Debian, RHEL, CentOS, Rocky Linux, AlmaLinux, Fedora i Alpine, a także obrazy oraz kontenery Docker. Inne dystrybucje są wykrywane przez Trivy. Wsparcie dla Windows Server jest na roadmapie - jeśli Windows jest dla Ciebie krytyczny, napisz do nas; priorytetyzujemy roadmapę razem z klientami.
Czy muszę instalować agenta?
Nie. Secvalis działa bezagentowo: jeden skrypt uruchamiany cyklicznie (cron / systemd timer), który wywołuje lokalny skan i wysyła wyłącznie metadane wyników. Żadnych demonów, żadnego stałego procesu, pełna kontrola po Twojej stronie - skrypt jest jawny i możesz go przeczytać przed uruchomieniem.
Co dokładnie opuszcza moją maszynę?
Wyłącznie metadane niezbędne do zarządzania podatnościami: etykieta i nazwa hosta, dystrybucja i jej wersja, wersja agenta, strefa czasowa, status skanu, lista pakietów z podatnościami wraz z wersjami oraz wykryte identyfikatory CVE. Nigdy: pliki, konfiguracje, zmienne środowiskowe, sekrety ani dane użytkowników. Pełną, dokładną specyfikację wysyłanego payloadu opisujemy w dokumentacji.
Czy mogę używać Secvalis w środowisku odizolowanym (air-gapped)?
Obecnie nie - wysyłka wyników wymaga połączenia HTTPS z api.secvalis.eu. Tryb proxy/relay dla sieci odizolowanych rozważamy; napisz, jeśli go potrzebujesz.
Dane i bezpieczeństwo
Gdzie przechowywane są moje dane?
W Unii Europejskiej - infrastruktura hostingowa OVHcloud (OVH SAS), serwery w Warszawie (Polska, EOG). Pełną listę podprocesorów (w tym dostawcę wysyłki e-mail) znajdziesz w Polityce prywatności.
Czy podpisujecie umowę powierzenia przetwarzania danych (DPA)?
Tak. DPA jest integralną częścią Regulaminu (realizacja art. 28 RODO) i jest zawierana elektronicznie już przy rejestracji. Pełną treść znajdziesz pod adresem /dpa; na żądanie udostępniamy ją do pobrania w formacie PDF i dopuszczamy podpis kwalifikowany (dla klientów wymagających podpisanego egzemplarza).
Jak zabezpieczona jest sama platforma Secvalis?
Szyfrowanie TLS 1.2+ w tranzycie, dziennik kluczowych działań użytkowników tylko do dopisywania (dostępny dla roli audytora), uwierzytelnianie dwuskładnikowe (MFA/TOTP), role i kontrola dostępu oraz izolacja danych każdego konta. Kopie zapasowe są szyfrowane (restic) przed wysłaniem do magazynu - dostawca infrastruktury nie ma dostępu do danych w postaci jawnej.
Ceny i konto
Co się dzieje po zakończeniu triala?
Konto przechodzi w 7-dniowy okres karencji (grace period), w którym działa normalnie - nic nie kasujemy, masz czas na decyzję i eksport danych. Dopiero po nim maszyny są dezaktywowane (przestają się skanować), a dane pozostają dostępne do wglądu i pobrania. Karty nie podpinasz na starcie, więc nie ma ryzyka automatycznego obciążenia.
Mam 11 serwerów, a plan Starter ma 10 slotów. Muszę kupić droższy plan?
Napisz do nas - pomożemy dobrać plan albo omówić dokupienie pojedynczych slotów maszyn ponad limit. Nie chcemy, żebyś płacił za cały wyższy plan z powodu jednej maszyny.
Czy w niższych planach są wyłączone funkcje?
Nie. Płacisz za liczbę maszyn i długość retencji danych, nie za odblokowywanie funkcji. Raporty, Evidence Pack, role, API - wszystko jest dostępne w każdym planie.
KSC / NIS2 / ISO
Czy wdrożenie Secvalis wystarczy do zgodności z NIS2 / ustawą o KSC?
Nie - i nieufnie podchodź do każdego narzędzia, które twierdzi inaczej. Ustawa wymaga całego systemu zarządzania bezpieczeństwem informacji (SZBI). Secvalis zamyka jeden z jego obowiązkowych elementów: proces obsługi podatności wraz z inwentaryzacją i dowodami dla audytora.
Jak Secvalis mapuje się na ISO 27001?
Bezpośrednio wspieramy kontrole: A.8.8 (zarządzanie podatnościami technicznymi), A.8.9 (zarządzanie konfiguracją - inwentarz pakietów) oraz A.5.18 (prawa dostępu - role i audit trail w samej platformie). Evidence Pack jest projektowany tak, by audytor dostał dowody w formacie, którego oczekuje.
Zacznij zabezpieczać flotę już dziś
Jeden skrypt. 5 minut do pierwszego skanu. Bez zobowiązań.