Стандарти та методологія
Спільні інженерні орієнтири для архітектури, безпеки та якості. Застосовні вимоги, відповідальність і критерії приймання узгоджуємо для кожного проєкту.
Як влаштована наша робота
Управління за компетенціями
До кожного проєкту залучаються команди за профільною експертизою, а не за ієрархією чи доступністю ресурсів. Це усуває ефект «телефону» між підрядниками.
Єдина точка відповідальності
Для кожного проєкту визначають провідну компанію-учасницю та контакт для замовника. Договірну модель, SLA і звітність погоджують з урахуванням складу команди та меж відповідальності.
Спільна технологічна основа
UnityBase та інші платформи екосистеми мають власні архітектури. Сумісність забезпечують узгоджені API й контракти даних, керування ідентичностями та інтеграційні перевірки.
Вбудована безпека
Моделювання загроз, мінімальні привілеї, захист даних і вимоги до відновлення закладаємо в архітектуру. Нормативні обов’язки визначаємо за даними, сектором, юрисдикцією та роллю учасників проєкту.
Які стандарти ми застосовуємо
Стандарти, регуляторні вимоги та інженерні практики мають різне призначення. Їхню застосовність фіксуємо в проєкті; сертифікацію конкретної компанії підтверджують чинний сертифікат і його сфера дії.
ISO/IEC 27001:2022: система управління інформаційною безпекою, оцінка ризиків, контроль доступу, інцидентів і постачальників. Реалізація контролів та незалежна сертифікація — окремі етапи.
NIS2 застосовується через законодавство держав ЄС до визначених організацій і секторів. Для фінансових установ окремо перевіряємо DORA та вимоги до ІКТ-постачальників.
GDPR регулює персональні дані. Data Act окремо визначає доступ до даних підключених продуктів і зміну постачальника хмарних послуг. Для архітектури важливі права доступу, переносимість і договірні умови.
Доступ оцінюється за ідентичністю, станом пристрою й контекстом запиту. Мінімальні привілеї, сегментація, MFA та контроль сервісних ідентичностей доповнюють мережевий захист.
Безпечний життєвий цикл за NIST SSDF та перевірки за OWASP ASVS 5.0: аналіз коду, залежностей і секретів, SBOM, походження артефактів та усунення вразливостей.
ISO 9001:2026 — актуальна редакція стандарту управління якістю. План переходу з попередньої редакції погоджується з органом сертифікації; статус кожної компанії перевіряється окремо.
Управління ризиками AI, відповідальність, якість даних і людський нагляд. Застосовність AI Act залежить від призначення системи та ролі організації; сертифікація ISO/IEC 42001 не замінює виконання регламенту.
Для продуктів у сфері CRA: керування вразливостями, оновлення та доказова база. Обов’язки звітування діють із вересня 2026 року, основні вимоги — з грудня 2027 року.
Авторизація з безпеки та КСЗІ за чинними й перехідними процедурами. Вимоги до захисту, криптографії та підтвердження відповідності визначають за категорією інформації й системою.
Наші підходи до розробки
Scrum для ітеративної продуктової роботи, Kanban для безперервного потоку. Тривалість циклу, ліміти незавершеної роботи, демонстрації та ретроспективи обираємо за контекстом команди.
Автоматизовані збірки, тести й перевірки безпеки; невеликі релізи, контрольоване розгортання та відкат. AI-підготовлені зміни проходять ті самі перевірки й відповідальне рев’ю.
Моделюємо бізнес-домени, фіксуємо рішення в ADR і перевіряємо контракти інтеграцій. Модульний моноліт або мікросервіси обираємо за межами доменів, потребами масштабування й готовністю до експлуатації.
Terraform, Ansible та інші засоби IaC забезпечують версійовані середовища. GitOps, політики й секрети керуються окремо; відновлення перевіряється практичними навчаннями.
OpenTelemetry для метрик, журналів і трасування; SLI/SLO, бюджет помилок, розбір інцидентів і практичні перевірки RPO/RTO.
Версії моделей, промптів і наборів оцінювання; RAG із правами доступу, перевірки prompt injection, обмеження інструментів, бюджетів і автономності агента. Відмова має безпечний сценарій.
Самообслуговування команд через перевірені шаблони, підтримувані версії й прозорі витрати. Доцільність платформи оцінюється за досвідом розробників і результатами сервісів.
Рівні сервісу та підтримки
Підтримку надають компанії-учасниці. SLA визначає вимірювання доступності та час реакції; SLO — цілі надійності, RTO — час відновлення, RPO — допустиму втрату даних. Значення й межі відповідальності погоджуються в договорі.
Стандартні рівні: Base (8×5, наступний робочий день), Standard (12×5, 4 год), Premium (24×7, 1 год). Для критичної інфраструктури доступний рівень Mission Critical з цільовим часом відновлення менше 15 хв.
Обговоримо вимоги вашого проєкту
Визначимо застосовні стандарти, модель відповідальності та рівень SLA ще до початку робіт.