Клієнт прислав анкету безпеки на 200 питань, а ми не знаємо, що відповідати
Збираємо відповіді в одну базу на основі реальних практик вашої команди. Наступні анкети закриваються за години, а не за тижні.
SOC 2 або ISO 27001 для вашого SaaS: підготуємо до аудиту без зайвих паперів
Великі клієнти з ЄС і США все частіше просять сертифікат безпеки ще до першої угоди. Ми розбираємо, чого не вистачає вашому продукту, пишемо політики, налаштовуємо збір доказів і готуємо вас до зустрічі з аудитором. Сам сертифікат видає незалежний аудитор, ми готуємо вас до нього.
Кошторис і строки після брифу
Кому підходить
- SaaS-стартапи, яким великий клієнт надіслав анкету безпеки або вимагає SOC 2
- Продуктові компанії з ринку ЄС, Великої Британії та США, яким потрібен ISO 27001 для тендерів
- Українські ІТ-компанії, що виходять на міжнародних корпоративних клієнтів
- Команди, які вже мають продукт і хочуть закрити вимоги безпеки до аудиту, а не під час нього
Які задачі вирішуємо
Не розуміємо, що обрати: SOC 2 чи ISO 27001
Дивимось, хто ваші покупці й де вони. SOC 2 частіше просять у США, ISO 27001 частіше потрібен у ЄС і в тендерах. Радимо один стандарт для старту. Якщо треба обидва, переносимо частину робіт з одного на інший.
Консультанти просять десятки тисяч доларів і дають гору документів, які ніхто не читає
Пишемо короткі політики під ваш реальний процес. Кошторис готуємо після брифу. Кожен документ прив'язаний до вимоги стандарту.
Збирати докази вручну: скріншоти, списки доступів, журнали змін — це втрата часу інженерів
Підключаємо платформу автоматизації відповідності (наприклад, Vanta, Drata або Secureframe) до хмари, git і системи тікетів. Частину доказів вона збирає сама. Платформу обираємо разом з вами, ліцензія окремо.
Що входить у роботу
- Розбір прогалин (gap analysis): порівнюємо ваш продукт і процеси з вимогами SOC 2 Trust Services Criteria або ISO 27001 Annex A
- Визначення обсягу: які системи, дані й люди потрапляють в аудит
- Реєстр ризиків і план їх закриття
- Політики й процедури: доступи, зміни коду, інциденти, резервні копії, постачальники, онбординг і звільнення
- Технічні налаштування: MFA (вхід із другим фактором), журнали дій, шифрування, резервні копії, обмеження доступів у хмарі
- Підключення платформи автоматизації відповідності та збір доказів
- Навчання співробітників з безпеки й облік його проходження
- Пробний внутрішній аудит перед зустріччю з аудитором
- Підбір аудиторської компанії та супровід на самому аудиті
- Сторінка довіри (trust page) на вашому сайті з описом практик безпеки для покупців
Оберіть обсяг роботи
Пакет допомагає описати задачу. Кошторис і строки погоджуємо після брифу та уточнення вимог.
01
Розбір прогалин
Тим, хто ще вирішує, чи потрібен сертифікат і з чого починати
- Інтерв'ю з технічним лідом і керівником
- Gap analysis за обраним стандартом
- Список прогалин з пріоритетами
- Оцінка бюджету й строків усього шляху
02
Підготовка до аудиту
SaaS, який вирішив іти на SOC 2 Type I або ISO 27001 і хоче дійти до аудитора готовим
- Політики й процедури під ваш продукт
- Реєстр ризиків і план закриття
- Налаштування технічних контролів разом з вашою командою
- Підключення платформи автоматизації й збір доказів
- Пробний аудит і супровід на аудиті
03
Повний цикл з Type II
Командам, яким потрібен SOC 2 Type II (перевірка роботи контролів протягом періоду) або ISO 27001 з наглядом
- Усе з пакета «Підготовка до аудиту»
- Щомісячний контроль доказів протягом періоду спостереження
- Оновлення політик і реєстру ризиків
- Підготовка до повторного й наглядового аудиту
- Сторінка довіри на сайті й готові відповіді на анкети безпеки
Як працюємо
Бриф і вимоги
Ви описуєте задачу й поточний процес. Уточнюємо вимоги, обираємо перший етап і готуємо кошторис.
Розбір прогалин
Дивимось на інфраструктуру, код, процеси й документи. Отримуєте список того, що треба закрити, з пріоритетами й оцінкою зусиль.
Політики й технічні контролі
Пишемо документи й допомагаємо налаштувати доступи, журнали, резервні копії та шифрування. Усі акаунти й файли залишаються вашими за погодженими умовами.
Збір доказів і пробний аудит
Платформа збирає докази автоматично, решту ми додаємо вручну. Перед аудитором проводимо внутрішню перевірку й виправляємо слабкі місця.
Аудит і далі
Допомагаємо обрати аудитора, відповідаємо на його запити разом з вами. Після аудиту налаштовуємо щомісячний ритм підтримки відповідності.
Межі роботи
- Ми не видаємо сертифікат. Його видає незалежний аудитор або орган сертифікації, і ми не можемо гарантувати результат аудиту.
- Ми не включаємо у ціну роботу аудитора й ліцензію на платформу автоматизації. Це окремі витрати, і ми називаємо їх орієнтовно ще на етапі розбору.
- Ми не зробимо все за вас. Без вашого технічного ліда, доступів і часу на інтерв'ю підготовка затягнеться.
Часті питання
Чим SOC 2 відрізняється від ISO 27001?
SOC 2 — це звіт аудитора про ваші контролі безпеки. Його найчастіше просять американські клієнти. ISO 27001 — міжнародний сертифікат на систему управління інформаційною безпекою, і його частіше потрібно в ЄС та тендерах. Ми допоможемо обрати за вашими покупцями.
Що таке Type I і Type II?
Type I підтверджує, що контролі безпеки правильно задумані на конкретну дату. Type II перевіряє, що вони працюють протягом періоду, зазвичай від кількох місяців. Багато клієнтів зрештою просять саме Type II.
Скільки це триває?
Строки визначаємо після уточнення обсягу й залежностей. Період спостереження для Type II і строки аудитора залежать від нього.
Чи потрібно купувати платформу на кшталт Vanta чи Drata?
Не обов'язково, але вона економить багато часу на зборі доказів. Для маленької команди можна обійтись таблицями й скриптами. Ми покажемо обидва варіанти з орієнтовною вартістю і ви оберете.
Що ми маємо надати?
Доступ до хмари, git і системи тікетів (лише на читання, де це можливо). Час технічного ліда на інтерв'ю й налаштування. Рішення керівника щодо ризиків і політик. Перелік постачальників і підрядників, які мають доступ до даних.
Чи можна почати з малого?
Так. Пакет «Розбір прогалин» дає чіткий план і оцінку бюджету. Далі ви вирішуєте, чи йти з нами, з іншим підрядником чи робити самостійно. Документи й результати розбору залишаються вашими.
Почнемо з вашої задачі
Опишіть бізнес, бажаний результат і поточний процес. Після брифу уточнимо вимоги та підготуємо кошторис.