Sikkerhedscompliance og parathed til audit
Sikkerhedscompliance og parathed til audit for ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 og DORA: gap-vurderinger, de tekniske kontroller, auditorer tester, politikker og risikoregistre samt de beviser, der dokumenterer, at hver kontrol kører, med dedikerede compliance engineers til jeres team eller et forberedelsesprojekt leveret frem til jeres audit.
Compliance-arbejde, vi tager på os
Implementering af ISO 27001
Omfang, risikovurdering og Statement of Applicability for jeres ISMS, Annex A-kontrollerne bygget ind i jeres systemer og processer, politikker, folk faktisk følger, og en intern audit og ledelsesgennemgang gennemført før certificeringsorganets Stage 1- og Stage 2-audits.
Parathed til SOC 2
De Trust Services Criteria, der er omfattet, valgt sammen med jer, gaps fundet og lukket, kontroller i drift før en Type I-rapport og beviser indsamlet gennem den observationsperiode, en Type II-rapport dækker, klar til CPA-firmaets test.
Tekniske foranstaltninger efter GDPR
Personoplysninger kortlagt på tværs af databaser, logs og leverandører, anmodninger om indsigt og sletning håndteret af produktet frem for i hånden, opbevaring håndhævet gennem planlagt sletning, kryptering og pseudonymisering, hvor risikoen kræver det, og fortegnelser over behandlingsaktiviteter og DPIA’er holdt ajour.
Støtte under audit
En navngiven udvikler på auditorens anmodningsliste under feltarbejdet: populationer eksporteret til stikprøver, gennemgang af, hvordan hver kontrol virker, og hver afvigelse besvaret med en dateret udbedringsplan, før rapporten færdiggøres.
PCI DSS-compliance
Omfanget af kortholderdata reduceret med tokenisering og hostede betalingsfelter, kontroller bygget til PCI DSS v4.0.1, herunder inventar og integritetsovervågning af scripts på betalingssider, kvartalsvise ASV-scanninger og den årlige penetrationstest, klar til et selvvurderingsskema eller en QSA’s Report on Compliance.
HIPAA-sikkerhedsforanstaltninger
De administrative, fysiske og tekniske sikkerhedsforanstaltninger i HIPAA Security Rule bygget ind i produktet: en dokumenteret risikoanalyse, unikke bruger-id’er, auditlogs på hver adgang til beskyttede sundhedsoplysninger, kryptering og business associate agreements med hver cloud- og SaaS-leverandør, der berører dataene.
Parathed til NIS2
De risikostyringsforanstaltninger og den indberetning af hændelser, jeres lands NIS2-lov kræver: ledelsesgodkendt governance, sikkerhed i leverandørkæden, multifaktorgodkendelse, kryptering, forretningskontinuitet og en indberetningsproces, der overholder de nationale myndigheders frister.
DORA, ikt-risiko og modstandsdygtighed
For finansielle enheder og de ikt-leverandører, der betjener dem: rammen for styring af ikt-risici, klassificering og indberetning af større ikt-relaterede hændelser, informationsregisteret over ikt-tredjepartsleverandører, de kontraktklausuler, DORA kræver, og planlagt og dokumenteret test af modstandsdygtighed.
Sikkerhedsspørgeskemaer og trust centres
Kunders sikkerhedsspørgeskemaer som SIG og CAIQ besvaret ud fra ét vedligeholdt bibliotek af godkendte svar, et trust centre, der deler jeres rapporter under NDA, og kontrollerne bag hvert svar holdt sande, efterhånden som produktet ændrer sig.
Ansæt compliance engineers
Dedikerede compliance engineers
Compliance engineers, der indgår i jeres team på fuld tid, arbejder i jeres værktøjer og processer og rapporterer til jeres leder. I interviewer dem; vi står for den ukrainske kontrakt, lønudbetalingen, faktureringen og ferie og orlov.
Projekter inden for Compliance-arbejde
En afgrænset opgave inden for compliance-arbejde med et fast omfang, en fast plan og en navngiven leder hos os, der ejer resultatet og rapporterer fremdriften i jeres kanaler.
Løbende compliance-arbejde
Compliance-arbejde som løbende ydelse: de samme folk hver måned, en backlog, I selv prioriterer, og timer, I kan se i vores portal og på fakturaen.
Siden om dedikerede teams forklarer, hvordan specialister indgår i jeres team, og siden om outsourcing beskriver projektleverance, overtagelser og hvordan vi tager betaling.
Hvem arbejder med jeres compliance-arbejde
Compliance-ingeniører
Kontroller, beviser og auditorens anmodninger
Informationssikkerhedsansvarlige
ISMS, politikker, risikoregistre og ledelsesgennemgange
Cloud- og DevOps-ingeniører
Tekniske kontroller som infrastructure as code
Privacy engineers
GDPR-datakortlægning, opbevaring og anmodninger fra registrerede
Penetrationstestere
De tests, som auditorer og standarder kræver
Sådan forbereder vi jer til en audit
Certifikater udstedes af akkrediterede certificeringsorganer, SOC 2-rapporter af uafhængige CPA-firmaer og PCI DSS Reports on Compliance af QSA’er; vores del er kontrollerne og de beviser, de tester. Arbejdet starter med en gap-vurdering mod standarden og det omfang, I har brug for, derefter en plan ordnet efter det, auditoren tester først, med hver kontrol bygget ind i jeres systemer frem for kun skrevet ind i en politik.
Kontroller implementeres som kode, hvor det er muligt: adgangsregler, kryptering, logning, backup og godkendelse af ændringer ligger i Terraform og pipelines, så beviset er en optegnelse, systemet selv producerer, og ikke et skærmbillede taget ugen før auditten. Vi anvender samme disciplin på vores egne enheder: vores laptops kontrolleres af en agent, vi har skrevet i Rust, mod vores sikkerhedsbaseline på Windows, macOS og Ubuntu, med kontroller, der er knyttet til ISO 27001, CIS, Cyber Essentials, Essential Eight og SOC 2.
Andre ydelser inden for cloud, DevOps og sikkerhed
AWS-udvikling
AWS-udvikling: containere på EKS og ECS, serverless, landing zones, migreringer, databaser, dataplatforme, generativ AI med Bedrock, sikkerhed og omkostningsoptimering, med dedikerede AWS-ingeniører eller projektleverance.
Google Cloud-udvikling
Google Cloud-udvikling: Cloud Run og GKE, BigQuery, Firebase-backends, Cloud SQL og AlloyDB, Gemini på Agent Platform, sikkerhed og migreringer, med dedikerede Google Cloud-ingeniører eller projektleverance.
Kubernetes-rådgivning
Kubernetes-rådgivning og -udvikling: klynger på EKS, AKS, GKE og on premises, Helm, GitOps med Argo CD eller Flux, sikkerhed i klynger, opgraderinger og GPU-workloads, med dedikerede Kubernetes-ingeniører eller projektleverance.
DevOps og CI/CD
DevOps og CI/CD: pipelines, infrastruktur som kode med Terraform, observability, SRE og vagtberedskab, DevSecOps, platform engineering og FinOps, med dedikerede DevOps- og SRE-ingeniører eller løbende DevOps-arbejde.
Cybersikkerhed og pentest
Cybersikkerhed og penetrationstest: pentests af web, mobil, API, netværk og cloud, sikker kodegennemgang, SOC og incident response, ISO 27001 og SOC 2, med dedikerede sikkerhedsingeniører eller afgrænsede projekter.
IT-infrastruktur
IT-infrastruktur og systemadministration: Windows- og Linux-servere, netværk, Microsoft 365 og Entra ID, virtualisering, sikkerhedskopier og telekom, med dedikerede systemadministratorer eller løbende support.
Site reliability engineering
Site reliability engineering: SLO'er, observability med OpenTelemetry, vagtberedskab og incident management, belastningstest, disaster recovery og chaos engineering, med dedikerede SRE-ingeniører eller projektleverance.
Platform engineering
Platform engineering: interne udviklerplatforme, Backstage-portaler, golden paths og skabeloner, self-service-infrastruktur og Kubernetes-platforme, med dedikerede platformingeniører eller projektleverance.
Cloudarkitektur
Cloudarkitektur og rådgivning: design til AWS, Azure og Google Cloud, migreringsplaner, landing zones, Well-Architected-gennemgange, robusthed og omkostninger, med dedikerede cloudarkitekter eller projektleverance.
FinOps
FinOps og optimering af cloudomkostninger: omkostningsfordeling, rightsizing, savings plans og reservationer, Kubernetes, omkostninger til data og AI, budgetter og anomali-alarmer, med dedikerede FinOps-ingeniører eller projektleverance.
Terraform og IaC
Terraform og infrastruktur som kode: moduler i Terraform og OpenTofu, imports, plan- og apply-pipelines, kontrol af konfigurationsdrift, policy as code og Ansible, med dedikerede Terraform-ingeniører eller projektleverance.
Linux-administration
Linux-administration: servere med Ubuntu, Debian, RHEL, Rocky Linux og AlmaLinux sat op, patchet, hærdet, overvåget og sikkerhedskopieret samt end-of-life-opgraderinger, med dedikerede Linux-administratorer eller løbende support.
Netværksteknik
Netværksteknik: routing og switching, firewalls, SD-WAN og zero-trust-adgang, cloudnetværk, Wi-Fi og automatisering på Cisco, Juniper og Fortinet, med dedikerede netværksingeniører eller projektleverance.
Cloudsikkerhed
Cloudsikkerhed: CSPM og CNAPP, gennemgang af IAM, Kubernetes-sikkerhed, netværks- og databeskyttelse og cloud compliance på AWS, Azure og Google Cloud, med dedikerede cloudsikkerhedsingeniører eller projektleverance.
SOC og sikkerhedsovervågning
SOC as a service og sikkerhedsovervågning: managed SOC, udrulning af SIEM, onboarding af logs, detection engineering, EDR, threat hunting og incident response-retainere, med dedikerede SOC-analytikere eller løbende overvågning.
Spørgsmål om sikkerhedscompliance
Hvilke brancher arbejder jeres compliance engineers i?
Mest SaaS- og softwarevirksomheder, der forbereder sig til SOC 2 og ISO 27001, fordi deres kunder efterspørger dem; fintech, bank og forsikring, under PCI DSS og DORA; sundheds- og medtech-produkter, der håndterer patientdata under HIPAA og GDPR; e-handels- og detailvirksomheder, der tager imod kortbetalinger; cybersikkerhedsvirksomheder; samt industri-, energi-, hosting- og telekomvirksomheder, der falder ind under NIS2.
Hvor lang tid tager det at blive klar til en ISO 27001- eller SOC 2-audit?
Det afhænger af omfanget og af, hvor meget der allerede er på plads, så en gap-vurdering kommer først og ender med en dateret plan. En SOC 2 Type II-rapport kræver desuden en observationsperiode, almindeligvis tre til tolv måneder, hvor kontrollerne kører og efterlader beviser, og den periode kan starte, så snart kontrollerne er i drift.
Gælder NIS2, DORA og Cyber Resilience Act for os?
Det afhænger af jeres sektor, jeres størrelse og det, I sælger i EU. NIS2 omfatter mellemstore og store enheder i kritiske sektorer gennem hvert lands egen lov; DORA har gældt for finansielle enheder i EU siden 17. januar 2025 og når deres ikt-leverandører gennem kontrakter; og Cyber Resilience Act kræver, at producenter af produkter med digitale elementer aktivt indberetter udnyttede sårbarheder fra 11. september 2026, med de vigtigste forpligtelser gældende fra 11. december 2027. Vi kortlægger, hvilke der gælder for jer, og bygger de kontroller, hver af dem kræver.
Hvor hurtigt kan compliance engineers starte?
Når den rette compliance engineer er tilgængelig, afhænger starten kun af jeres samtale samt NDA og overdragelse af IP-rettigheder. Ellers gennemfører vi en søgning, som typisk giver kandidatprofiler inden for to til tre uger, og ingen starter, før I har sagt ja.
Hvordan ansætter vi compliance engineers gennem BigTree108?
Fortæl os om opgaverne, erfaringsniveauet og det timetal, I har brug for. Vi foreslår en eller to personer med deres profiler, I interviewer dem på samme måde, som I ville interviewe jeres egen medarbejder, og I underskriver én aftale med BIG TREE 108 LLC og modtager én faktura om måneden.
Hvem ejer det arbejde, de producerer?
Det gør I. Hver specialist har en underskrevet kontrakt med BigTree108, som overdrager alt arbejdsresultat til virksomheden, og vores aftale med jer overdrager det videre til jer. Kode, designs og dokumenter leveres ind i jeres egne repositories og værktøjer og opbevares ikke et sted, hvor kun vi kan ændre dem.
Forbereder I jer til en audit?
Fortæl os standarden, omfanget og en eventuel auditdato eller kundefrist, I arbejder hen imod. I får svar inden for én arbejdsdag: et omfang for en gap-vurdering, en plan for parathed eller kandidatprofiler.