Přeskočit na obsah
BigTree108

Služby bezpečnostního souladu a přípravy na audit

Bezpečnostní soulad a příprava na audit pro ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 a DORA: analýzy mezer, technické kontroly, které auditoři testují, politiky a registry rizik a důkazy, že každá kontrola funguje, s dedikovanými compliance inženýry pro váš tým nebo s projektem přípravy dodaným až k vašemu auditu.

Compliance práce, které přijímáme

  • Zavedení ISO 27001

    Rozsah, posouzení rizik a prohlášení o aplikovatelnosti (Statement of Applicability) pro váš ISMS, kontroly z přílohy A zabudované do vašich systémů a procesů, politiky, které lidé skutečně dodržují, a interní audit a přezkoumání vedením dokončené před audity fáze 1 a fáze 2 certifikačního orgánu.

  • Příprava na SOC 2

    Kritéria Trust Services v rozsahu zvolená společně s vámi, mezery nalezené a uzavřené, kontroly běžící před zprávou Type I a důkazy shromažďované po celé období pozorování, které zpráva Type II pokrývá, připravené k testování ze strany firmy CPA.

  • Technická opatření pro GDPR

    Osobní údaje zmapované napříč databázemi, logy a dodavateli, žádosti o přístup a výmaz vyřizované produktem, ne ručně, uchovávání vynucované plánovaným mazáním, šifrování a pseudonymizace tam, kde to riziko vyžaduje, a záznamy o zpracování a DPIA udržované aktuální.

  • Podpora při auditu na místě

    Pojmenovaný inženýr na seznamu požadavků auditora během auditu: exportované populace pro vzorkování, ukázky toho, jak každá kontrola funguje, a každá výjimka zodpovězená datovaným plánem nápravy dříve, než se zpráva finalizuje.

  • Soulad s PCI DSS

    Rozsah dat držitelů karet zmenšený tokenizací a hostovanými platebními poli, kontroly postavené na PCI DSS v4.0.1, včetně inventáře a kontroly integrity skriptů na platebních stránkách, čtvrtletních skenů ASV a ročního penetračního testu, připravené na dotazník sebehodnocení nebo Report on Compliance od QSA.

  • Ochranná opatření HIPAA

    Administrativní, fyzická a technická ochranná opatření HIPAA Security Rule zabudovaná do produktu: zdokumentovaná analýza rizik, jedinečné ID uživatelů, auditní logy při každém přístupu k chráněným zdravotním informacím, šifrování a smlouvy o spolupráci (business associate agreements) s každým poskytovatelem cloudu a SaaS, který se dat dotýká.

  • Příprava na NIS2

    Opatření k řízení rizik a hlášení incidentů, která vyžaduje zákon vaší země k NIS2: správa schválená vedením, zabezpečení dodavatelského řetězce, vícefaktorové ověřování, šifrování, kontinuita provozu a proces hlášení, který splní lhůty národního úřadu.

  • Rizika ICT a odolnost podle DORA

    Pro finanční subjekty a poskytovatele ICT, kteří je obsluhují: rámec řízení rizik ICT, klasifikace a hlášení závažných incidentů souvisejících s ICT, registr informací o třetích stranách poskytujících ICT, smluvní ustanovení, která DORA vyžaduje, a plánované a doložené testování odolnosti.

  • Bezpečnostní dotazníky a trust centra

    Zákaznické bezpečnostní dotazníky, například SIG a CAIQ, zodpovězené z jedné udržované knihovny schválených odpovědí, trust centrum, které sdílí vaše zprávy na základě NDA, a kontroly za každou odpovědí udržované pravdivé, jak se produkt mění.

compliance inženýři do vašeho týmu

  • Dedikovaní compliance inženýři

    Compliance inženýři, kteří nastoupí do vašeho týmu na plný úvazek, pracují ve vašich nástrojích a procesu a zodpovídají se vašemu vedoucímu. Pohovor s nimi vedete vy; my neseme ukrajinskou smlouvu, mzdy, fakturaci a dovolenou.

  • Projekty v oblasti „Compliance engineering“

    Vymezená část práce v oblasti „compliance engineering“ s rozsahem, pevným plánem a jmenovaným vedoucím na naší straně, který odpovídá za výsledek a o postupu informuje ve vašich kanálech.

  • Průběžná spolupráce v oblasti „compliance engineering“

    Průběžná služba v oblasti „Compliance engineering“: každý měsíc stejní lidé, backlog, kterému určujete priority, a hodiny, které vidíte v našem portálu i na faktuře.

Stránka o dedikovaném týmu vysvětluje, jak se specialisté připojují k vašemu týmu, a stránka o outsourcingu pokrývá dodávku projektů, převzetí systémů a jak účtujeme.

Kdo pracuje na vašem zadání v oblasti „compliance engineering“

  • Compliance inženýři

    Kontroly, důkazy a požadavky auditorů

  • Manažeři informační bezpečnosti

    ISMS, politiky, registry rizik a přezkoumání vedením

  • Cloud a DevOps inženýři

    Technické kontroly jako infrastruktura jako kód

  • Inženýři ochrany soukromí

    Mapování dat GDPR, uchovávání a žádosti subjektů údajů

  • Penetrační testeři

    Testy, které vyžadují auditoři a normy

Jak vás připravujeme na audit

Certifikáty vydávají akreditované certifikační orgány, zprávy SOC 2 nezávislé firmy CPA a Reports on Compliance podle PCI DSS auditoři QSA; naší částí jsou kontroly a důkazy, které testují. Práce začíná analýzou mezer vůči normě a rozsahu, který potřebujete, následuje plán seřazený podle toho, co auditor testuje jako první, a každá kontrola je zabudována do vašich systémů, ne jen zapsána v politice.

Kontroly se implementují jako kód všude, kde to jde: pravidla přístupu, šifrování, logování, zálohy a schvalování změn žijí v Terraformu a pipeline, takže důkazem je záznam, který vytváří systém, a ne snímek obrazovky pořízený týden před auditem. Stejnou disciplínu uplatňujeme na vlastní zařízení: naše notebooky kontroluje agent, kterého jsme napsali v Rustu, vůči naší bezpečnostní základně na Windows, macOS a Ubuntu, s kontrolami namapovanými na ISO 27001, CIS, Cyber Essentials, Essential Eight a SOC 2.

Další služby cloudu, DevOps a bezpečnosti

Přehled: Cloud, DevOps a bezpečnost

Dotazy k bezpečnostnímu souladu

V jakých oborech vaši compliance inženýři pracují?

Většinou u SaaS a softwarových firem, které se připravují na SOC 2 a ISO 27001, protože to jejich zákazníci požadují; ve fintechu, bankovnictví a pojišťovnictví, kde platí PCI DSS a DORA; u zdravotnických produktů a medtechu zpracovávajících data pacientů podle HIPAA a GDPR; u e-commerce a obchodních firem přijímajících platby kartou; u firem kybernetické bezpečnosti; a u průmyslových, energetických, hostingových a telekomunikačních firem, na které dopadá NIS2.

Jak dlouho trvá příprava na audit ISO 27001 nebo SOC 2?

Záleží na rozsahu a na tom, kolik je už zavedeno, proto na prvním místě stojí analýza mezer, která končí datovaným plánem. Zpráva SOC 2 Type II navíc vyžaduje období pozorování, obvykle tři až dvanáct měsíců, během kterého kontroly běží a zanechávají důkazy, a toto období může začít, jakmile jsou kontroly v provozu.

Vztahují se na nás NIS2, DORA a Cyber Resilience Act?

Záleží na vašem odvětví, velikosti a na tom, co v EU prodáváte. NIS2 se vztahuje na střední a velké subjekty v kritických odvětvích prostřednictvím zákona každé země; DORA se na finanční subjekty EU vztahuje od 17. ledna 2025 a na jejich poskytovatele ICT dopadá přes smlouvy; a Cyber Resilience Act vyžaduje od výrobců produktů s digitálními prvky hlásit aktivně zneužívané zranitelnosti od 11. září 2026, přičemž jeho hlavní povinnosti platí od 11. prosince 2027. Zmapujeme, co se vás týká, a vytvoříme kontroly, které každý z těchto předpisů vyžaduje.

Jak rychle mohou nastoupit compliance inženýři?

Když je k dispozici ten pravý compliance inženýr, začátek brzdí jen váš pohovor, NDA a převod práv duševního vlastnictví. Jinak vedeme hledání, které obvykle přinese profily kandidátů do dvou až tří týdnů, a nikdo nenastoupí, dokud neřeknete ano.

Jak probíhá najímání přes BigTree108 (role: compliance inženýři)?

Řekněte nám, jakou práci, jakou seniority a kolik hodin potřebujete. Navrhneme jednoho nebo dva lidi s jejich profily, pohovoříte s nimi stejně jako s vlastním zaměstnancem a podepíšete jednu smlouvu s BIG TREE 108 LLC a budete dostávat jednu fakturu měsíčně.

Komu patří práce, kterou vytvářejí?

Vám. Každý specialista má podepsanou smlouvu s BigTree108, která převádí všechny výsledky práce na společnost, a naše smlouva s vámi je převádí dál. Kód, návrhy a dokumenty se dodávají do vašich vlastních repozitářů a nástrojů, ne do míst, kde je můžeme měnit jen my.

Připravujete se na audit?

Sdělte nám normu, rozsah a případný termín auditu nebo lhůtu zákazníka, ke které směřujete. Do jednoho pracovního dne dostanete odpověď: rozsah analýzy mezer, plán přípravy nebo profily kandidátů.

Napište na hello@bigtree108.comJak odpovídáme