Trusted Introducer

Trusted Introducer (TI) – europejska usługa zaufania dla zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT), prowadzona w ramach społeczności TF-CSIRT. Obejmuje katalog zespołów bezpieczeństwa (CSIRT-ów, CERT-ów, SOC-ów i zespołów pokrewnych) oraz trzystopniowy system potwierdzania ich statusu i dojrzałości: wpis do katalogu (listed), akredytację i certyfikację^[1]. Usługę zdefiniowano w 2000 roku, a we wrześniu 2026 roku katalog obejmował 555 zespołów, w tym 43 z Polski^[2].

Po niepowodzeniu projektu EuroCERT, który miał pełnić funkcję europejskiego centrum koordynacji zespołów reagowania, stowarzyszenie TERENA zapoczątkowało w 1999 roku serię spotkań europejskich zespołów CERT. W ich wyniku w 2000 roku powołano grupę roboczą TF-CSIRT (Task Force – Computer Security Incident Response Teams), a wraz z nią zdefiniowano usługę Trusted Introducer, której prawnym gospodarzem została TERENA^[3]. Koncepcję usługi opracowali na zlecenie TERENA Klaus-Peter Kossakowski i Don Stikvoort^[4]. Po fazie pilotażowej usługa oficjalnie ruszyła we wrześniu 2001 roku – do końca tego roku w katalogu znalazło się 55 zespołów, z których osiem uzyskało akredytację jako zespoły „pionierskie”^[3].

W 2010 roku społeczność TF-CSIRT przyjęła model dojrzałości SIM3 i na jego podstawie wprowadziła najwyższy poziom uznania – certyfikację. Pierwsze cztery zespoły certyfikowano w 2011 roku po zamknięciu fazy pilotażowej^[3]. Po włączeniu TERENA w struktury stowarzyszenia GÉANT TF-CSIRT działał jako jego grupa robocza, a we wrześniu 2022 roku przeniósł się pod skrzydła fundacji Open CSIRT Foundation, przy dalszym wsparciu GÉANT i RIPE NCC^[3]. Pod koniec 2023 roku katalog przekroczył 500 zespołów (301 akredytowanych, 46 certyfikowanych), a w 2024 roku liczba zespołów certyfikowanych przekroczyła 50^[3].

Podstawą usługi jest katalog TI – baza danych zespołów bezpieczeństwa, której podstawowy zakres (dane kontaktowe zespołów) jest od początku publicznie dostępny, ponieważ z łatwego dostępu do punktów kontaktowych korzystają wszystkie strony obsługi incydentów^[1]. Zespoły mogą uzyskać w niej jeden z trzech statusów^[1]:

• wpis do katalogu (TI Listed) – status początkowy, bezpłatny. Wymaga rekomendacji („sponsorowania”) przez co najmniej dwa zespoły akredytowane lub certyfikowane oraz akceptacji podstawowych zasad społeczności, a decyzję podejmują w głosowaniu pełnoprawni członkowie TF-CSIRT^[5],
• akredytacja (TI Accredited) – pełne członkostwo w społeczności. Kandydat przechodzi formalną weryfikację danych i zobowiązań zespołu, a po jej zakończeniu uzyskuje dostęp do usług członkowskich, zaufanych kanałów wymiany informacji, pełnej wersji katalogu oraz prawo głosu w sprawach TF-CSIRT^[6][1],
• certyfikacja (TI Certified) – najwyższy poziom, dostępny dla zespołów akredytowanych od co najmniej ośmiu miesięcy. Obejmuje ocenę dojrzałości zespołu według modelu SIM3, w tym całodniowy warsztat na miejscu, i jest ważna trzy lata, po których wymagana jest recertyfikacja^[7].

Model SIM3 (Security Incident Management Maturity Model), służący do oceny dojrzałości zespołów, opisuje 44 parametry w czterech kategoriach: organizacja, zasoby ludzkie, narzędzia i procesy^[7]. Model powstał w 2010 roku w społeczności TF-CSIRT, która oparła na nim certyfikację zespołów^[3]. Właścicielem i opiekunem modelu jest obecnie fundacja Open CSIRT Foundation, która zezwala na jego bezpłatne użycie do celów wewnętrznych i niekomercyjnych oraz udostępnia narzędzie do samooceny. SIM3 przyjęły lub przyjmują także m.in. FIRST, ENISA i sieć CSIRT państw Unii Europejskiej^[8].

We wrześniu 2026 roku spośród 555 zespołów w katalogu TI akredytację miało 277, a certyfikację 52^[2].

Pierwszym powstałym w Polsce zespołem reagowania na incydenty jest CERT Polska, działający w strukturach NASK, który należy do TF-CSIRT i Trusted Introducer od 2000 roku, a 23 września 2020 roku uzyskał certyfikację^[9][10]. Pierwszym certyfikowanym zespołem z Polski został jednak już 14 marca 2016 roku CERT Orange Polska – wówczas jako jedna z szesnastu ekip w Europie z tym statusem^[11].

We wrześniu 2026 roku w katalogu TI figurowały 43 zespoły z Polski: 7 certyfikowanych, 22 akredytowane i 11 wpisanych do katalogu, a 3 miały statusy przejściowe^[2]. Akredytację mają m.in. zespoły dużych przedsiębiorstw i instytucji: CSIRT KNF (od 2021 roku), CERT Allegro, CERT Alior (Alior Bank), CERT BIK (Biuro Informacji Kredytowej), CERT ENEA, CERT IT-PKP (PKP Informatyka), CERT mBank, CERT Orlen, CERT TMPL (T-Mobile Polska), E.ON CERT (E.ON Polska) i ExaCERT (Exatel), a także PIONIER-CERT sieci naukowej PIONIER. Status kandydata do recertyfikacji ma CERT PSE (Polskie Sieci Elektroenergetyczne)^[2]. Zespół CERT PKP Informatyka przed uzyskaniem akredytacji w 2022 roku przeszedł audyt dojrzałości według metodyki SIM3, przeprowadzony przez NASK^[12].

Certyfikowane zespoły dużych przedsiębiorstw i instytucji z Polski (stan na wrzesień 2026)^[2]:

• Krajowy system cyberbezpieczeństwa

• Strona Trusted Introducer (ang.)