Tietoturvan vaatimustenmukaisuuden ja auditointivalmiuden palvelut
Tietoturvan vaatimustenmukaisuus ja auditointivalmius standardeille ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 ja DORA: aukkoanalyysit, tekniset kontrollit, joita auditoijat testaavat, toimintaperiaatteet ja riskirekisterit sekä todisteet, jotka osoittavat jokaisen kontrollin toimivan. Tarjoamme dedikoituja compliance-insinöörejä tiimiinne tai valmiusprojektin toimitettuna auditointiinne asti.
Vaatimustenmukaisuustyö, jota otamme hoitaaksemme
ISO 27001 -käyttöönotto
Tietoturvajohtamisjärjestelmänne (ISMS) laajuus, riskiarviointi ja soveltuvuuslausunto (Statement of Applicability), Annex A -kontrollit rakennettuna järjestelmiinne ja prosesseihinne, toimintaperiaatteet, joita ihmiset oikeasti noudattavat, sekä sisäinen auditointi ja johdon katselmus valmiina ennen sertifiointielimen Stage 1- ja Stage 2 -auditointeja.
SOC 2 -valmius
Soveltamisalaan kuuluvat Trust Services Criteria -kriteerit valitaan kanssanne, aukot löydetään ja suljetaan, kontrollit toimivat ennen Type I -raporttia, ja todisteet kerätään koko Type II -raportin kattaman havaintojakson ajan valmiina CPA-yhtiön testausta varten.
GDPR:n tekniset toimenpiteet
Henkilötiedot kartoitetaan tietokannoissa, lokeissa ja toimittajilla, rekisteröidyn pääsy- ja poistopyynnöt hoitaa tuote käsin tekemisen sijaan, säilytysajat pannaan täytäntöön ajastetulla poistolla, salaus ja pseudonymisointi otetaan käyttöön siellä, missä riski sitä vaatii, ja käsittelyseloste sekä tietosuojaa koskevat vaikutustenarvioinnit (DPIA) pidetään ajan tasalla.
Auditoinnin kenttätyön tuki
Nimetty kehittäjä auditoijan pyyntölistalla kenttätyön aikana: otantaa varten viedyt perusjoukot, läpikäynnit siitä, miten kukin kontrolli toimii, ja jokaiseen poikkeamaan vastataan päivätyllä korjaussuunnitelmalla ennen raportin viimeistelyä.
PCI DSS -vaatimustenmukaisuus
Korttitietojen laajuus pienennetään tokenisoinnilla ja hosted payment fields -kentillä, kontrollit rakennetaan PCI DSS v4.0.1 -version mukaan, mukaan lukien maksusivujen skriptien inventaario ja eheysvalvonta, neljännesvuosittaiset ASV-skannaukset ja vuosittainen penetraatiotesti, valmiina itsearviointilomakkeeseen tai QSA:n Report on Compliance -raporttiin.
HIPAA-suojatoimet
HIPAA Security Rule -säännön hallinnolliset, fyysiset ja tekniset suojatoimet rakennettuna tuotteeseen: dokumentoitu riskianalyysi, yksilölliset käyttäjätunnukset, auditointilokit jokaisesta suojattujen terveystietojen käytöstä, salaus ja business associate -sopimukset jokaisen pilvi- ja SaaS-palveluntarjoajan kanssa, joka koskee dataan.
NIS2-valmius
Riskienhallintatoimenpiteet ja poikkeamailmoitukset, joita maanne NIS2-laki edellyttää: johdon hyväksymä hallintotapa, toimitusketjun tietoturva, monivaiheinen tunnistautuminen, salaus, liiketoiminnan jatkuvuus sekä ilmoitusprosessi, joka täyttää kansallisen viranomaisen määräajat.
DORA:n ICT-riski ja häiriönsietokyky
Rahoitusalan toimijoille ja niitä palveleville ICT-palveluntarjoajille: ICT-riskienhallintakehys, merkittävien ICT-poikkeamien luokittelu ja ilmoittaminen, ICT-kolmansien osapuolten palveluntarjoajien tietorekisteri, DORA:n edellyttämät sopimuslausekkeet sekä häiriönsietokyvyn testaus suunniteltuna ja todennettuna.
Tietoturvakyselyt ja luottamuskeskukset
Asiakkaiden tietoturvakyselyt, kuten SIG ja CAIQ, vastataan yhdestä ylläpidetystä hyväksyttyjen vastausten kirjastosta, luottamuskeskus (trust centre) jakaa raporttinne NDA:n alla, ja kunkin vastauksen takana olevat kontrollit pidetään totuudenmukaisina tuotteen muuttuessa.
Palkatkaa compliance-insinöörit
Dedikoidut compliance-insinöörit
Compliance-insinöörit liittyvät tiimiinne kokoaikaisesti, työskentelevät teidän työkaluillanne ja prosessissanne ja raportoivat teidän vetäjällenne. Te haastattelette heidät, ja me vastaamme ukrainalaisesta sopimuksesta, palkanmaksusta, laskutuksesta ja lomista.
Projektit: Compliance engineering
compliance engineering rajattuna kokonaisuutena: sovittu laajuus, kiinteä suunnitelma ja meidän puolellamme nimetty vetäjä, joka vastaa tuloksesta ja raportoi edistymisestä teidän kanavissanne.
Jatkuva compliance engineering
Compliance engineering jatkuvana palveluna: samat ihmiset joka kuukausi, backlog, jonka priorisoitte itse, ja tunnit, jotka näette portaalissamme ja laskulla.
Dedikoitu tiimi -sivu selittää, miten asiantuntijat liittyvät tiimiinne, ja ulkoistussivu kattaa projektitoimituksen, haltuunotot ja hinnoittelumme.
Ketkä työskentelevät kanssanne: compliance engineering
Vaatimustenmukaisuusinsinöörit
Kontrollit, todisteet ja auditoijan pyynnöt
Tietoturvapäälliköt
ISMS, toimintaperiaatteet, riskirekisterit ja johdon katselmukset
Pilvi- ja DevOps-insinöörit
Tekniset kontrollit infrastruktuurina koodina
Tietosuojainsinöörit
GDPR-datakartoitus, säilytys ja rekisteröidyn pyynnöt
Tunkeutumistestaajat
Testit, joita auditoijat ja standardit vaativat
Miten valmistamme teitä auditointiin
Sertifikaatit myöntävät akkreditoidut sertifiointielimet, SOC 2 -raportit riippumattomat CPA-yhtiöt ja PCI DSS Report on Compliance -raportit QSA:t; meidän osuutemme ovat kontrollit ja niiden testaamat todisteet. Työ alkaa aukkoanalyysilla standardia ja tarvitsemaanne laajuutta vasten, ja sen jälkeen suunnitelma, joka on järjestetty sen mukaan, mitä auditoija testaa ensin, ja jokainen kontrolli rakennetaan järjestelmiinne eikä vain kirjoiteta toimintaperiaatteeseen.
Kontrollit toteutetaan koodina aina, kun se on mahdollista: pääsysäännöt, salaus, lokitus, varmuuskopiot ja muutosten hyväksyntä ovat Terraformissa ja pipelineissä, joten todiste on järjestelmän tuottama tallenne eikä auditointia edeltävällä viikolla otettu kuvakaappaus. Sovellamme samaa kurinalaisuutta omiin laitteisiimme: kannettavat tietokoneemme tarkistetaan itse kirjoittamallamme Rust-agentilla turvallisuuspohjaamme vasten Windows-, macOS- ja Ubuntu-ympäristöissä, ja tarkistukset on yhdistetty standardeihin ISO 27001, CIS, Cyber Essentials, Essential Eight ja SOC 2.
Muut pilvi-, DevOps- ja tietoturvapalvelut
AWS-kehitys
AWS-kehityspalvelut: EKS- ja ECS-kontit, serverless, landing zone -ympäristöt, migraatiot, tietokannat, dataplatformit, Bedrock-generatiivinen tekoäly, tietoturva ja kustannusoptimointi, dedikoiduilla AWS-insinööreillä tai projektitoimituksena.
Google Cloud -kehitys
Google Cloud -kehityspalvelut: Cloud Run ja GKE, BigQuery, Firebase-taustajärjestelmät, Cloud SQL ja AlloyDB, Gemini Agent Platformilla, tietoturva ja migraatiot, dedikoiduilla Google Cloud -insinööreillä tai projektitoimituksena.
Kubernetes-konsultointi
Kubernetes-konsultointi ja -kehitys: klusterit EKS:ssä, AKS:ssä, GKE:ssä ja omissa tiloissa, Helm, GitOps Argo CD:llä tai Fluxilla, klusterin tietoturva, päivitykset ja GPU-kuormat, dedikoiduilla Kubernetes-insinööreillä tai projektitoimituksena.
DevOps ja CI/CD
DevOps- ja CI/CD-palvelut: putket, Terraform-infrastruktuuri koodina, observability, SRE ja päivystys, DevSecOps, platform engineering ja FinOps, dedikoiduilla DevOps- ja SRE-insinööreillä tai jatkuvana DevOps-työnä.
Kyberturvallisuus ja tunkeutumistestaus
Kyberturvallisuuden ja tunkeutumistestauksen palvelut: web-, mobiili-, API-, verkko- ja pilvipentestit, turvallinen koodikatselmointi, SOC ja häiriötilanteiden hallinta, ISO 27001 ja SOC 2, dedikoiduilla tietoturvainsinööreillä tai rajatuilla projekteilla.
IT-infrastruktuuri
IT-infrastruktuurin ja järjestelmänhallinnan palvelut: Windows- ja Linux-palvelimet, verkot, Microsoft 365 ja Entra ID, virtualisointi, varmuuskopiot ja telekommunikaatio, dedikoiduilla järjestelmänvalvojilla tai jatkuvana tukena.
Site reliability engineering
Site reliability engineering -palvelut: SLO:t, OpenTelemetry-observability, päivystys ja häiriöiden hallinta, kuormitustestaus, katastrofipalautus ja chaos engineering, dedikoiduilla SRE-insinööreillä tai projektitoimituksena.
Platform engineering
Platform engineering -palvelut: sisäiset kehittäjäalustat, Backstage-portaalit, golden pathit ja pohjat, itsepalveluinfrastruktuuri ja Kubernetes-alustat, dedikoiduilla platform-insinööreillä tai projektitoimituksena.
Pilviarkkitehtuuri
Pilviarkkitehtuurin ja -konsultoinnin palvelut: suunnitelmat AWS:lle, Azurelle ja Google Cloudille, migraatiosuunnitelmat, landing zone -ympäristöt, Well-Architected-katselmoinnit, resilienssi ja kustannukset, dedikoiduilla pilviarkkitehdeilla tai projektitoimituksena.
FinOps
FinOps- ja pilvikustannusten optimoinnin palvelut: kustannusten kohdistus, oikea mitoitus, savings planit ja varaukset, Kubernetes-, data- ja tekoälykustannukset, budjetit ja poikkeamahälytykset, dedikoiduilla FinOps-insinööreillä tai projektitoimituksena.
Terraform ja IaC
Terraform- ja infrastruktuuri koodina -palvelut: Terraform- ja OpenTofu-moduulit, tuonnit, plan- ja apply-putket, poikkeamien hallinta, policy as code ja Ansible, dedikoiduilla Terraform-insinööreillä tai projektitoimituksena.
Linux-ylläpito
Linux-ylläpitopalvelut: Ubuntu-, Debian-, RHEL-, Rocky Linux- ja AlmaLinux-palvelimet asennettuina, päivitettyinä, kovennettuina, valvottuina ja varmuuskopioituina sekä elinkaaren päättyvien järjestelmien päivitykset, dedikoiduilla Linux-ylläpitäjillä tai jatkuvana tukena.
Tietoverkkotekniikka
Tietoverkkotekniikan palvelut: reititys ja kytkentä, palomuurit, SD-WAN ja zero-trust-pääsy, pilviverkot, Wi-Fi ja automaatio alustoilla Cisco, Juniper ja Fortinet, dedikoiduilla verkkoinsinööreillä tai projektitoimituksena.
Pilvitietoturva
Pilvitietoturvapalvelut: CSPM ja CNAPP, IAM-katselmoinnit, Kubernetes-tietoturva, verkko- ja datasuojaus sekä pilven vaatimustenmukaisuus AWS:ssä, Azuressa ja Google Cloudissa, dedikoiduilla pilvitietoturvainsinööreillä tai projektitoimituksena.
SOC ja tietoturvan valvonta
SOC palveluna ja tietoturvan valvonta: hallinnoitu SOC, SIEM-käyttöönotto, lokien liittäminen, tunnistussääntöjen kehitys (detection engineering), EDR, uhkien metsästys ja häiriötilanteiden hallinnan retainer-sopimukset, dedikoiduilla SOC-analyytikoilla tai jatkuvalla valvonnalla.
Kysymyksiä tietoturvan vaatimustenmukaisuudesta
Millä toimialoilla compliance-insinöörinne työskentelevät?
Enimmäkseen SaaS- ja ohjelmistoyrityksissä, jotka valmistautuvat SOC 2:een ja ISO 27001:een, koska asiakkaat pyytävät niitä; fintech-, pankki- ja vakuutusalalla PCI DSS:n ja DORA:n alaisena; terveydenhuollon ja lääketeknologian tuotteissa, jotka käsittelevät potilastietoja HIPAA:n ja GDPR:n alaisena; verkkokaupassa ja vähittäiskaupassa, jotka ottavat vastaan korttimaksuja; kyberturvallisuusyrityksissä sekä teollisuus-, energia-, hosting- ja telealan yrityksissä, jotka kuuluvat NIS2:n piiriin.
Kauanko ISO 27001- tai SOC 2 -auditointiin valmistautuminen kestää?
Se riippuu laajuudesta ja siitä, kuinka paljon on jo käytössä, joten aloitamme aukkoanalyysilla, joka päättyy päivättyyn suunnitelmaan. SOC 2 Type II -raportti vaatii myös havaintojakson, yleensä kolmesta kahteentoista kuukautta, jonka aikana kontrollit toimivat ja jättävät todisteita, ja tämä jakso voi alkaa heti, kun kontrollit ovat käytössä.
Koskevatko NIS2, DORA ja Cyber Resilience Act meitä?
Se riippuu toimialastanne, koostanne ja siitä, mitä myytte EU:ssa. NIS2 kattaa kriittisten alojen keskisuuret ja suuret toimijat kunkin maan oman lain kautta; DORA on koskenut EU:n rahoitusalan toimijoita 17. tammikuuta 2025 alkaen ja ulottuu niiden ICT-palveluntarjoajiin sopimusten kautta; ja Cyber Resilience Act edellyttää digitaalisia elementtejä sisältävien tuotteiden valmistajien ilmoittavan aktiivisesti hyödynnetyistä haavoittuvuuksista 11. syyskuuta 2026 alkaen, ja sen keskeiset velvoitteet tulevat sovellettaviksi 11. joulukuuta 2027. Kartoitamme, mitkä koskevat teitä, ja rakennamme kunkin edellyttämät kontrollit.
Kuinka nopeasti compliance-insinöörit voivat aloittaa?
Kun sopiva compliance-insinööri on saatavilla, aloitus riippuu vain teidän haastattelustanne sekä salassapitosopimuksesta (NDA) ja immateriaalioikeuksien siirrosta. Muussa tapauksessa teemme haun, joka tuottaa yleensä ehdokasprofiileja kahden tai kolmen viikon kuluessa, eikä kukaan aloita ennen kuin olette hyväksyneet.
Miten palkataan compliance-insinöörit BigTree108:n kautta?
Kertokaa meille työstä, kokemustasosta ja tarvitsemistanne tunneista. Ehdotamme yhtä tai kahta henkilöä profiileineen, te haastattelette heidät samoin kuin haastattelisitte oman rekrytointinne, ja allekirjoitatte yhden sopimuksen BIG TREE 108 LLC:n kanssa ja saatte yhden laskun kuukaudessa.
Kenelle heidän tuottamansa työ kuuluu?
Teille. Jokaisella asiantuntijalla on BigTree108:n kanssa allekirjoitettu sopimus, jossa kaikki työn tulokset siirretään yhtiölle, ja meidän sopimuksemme teidän kanssanne siirtää ne edelleen teille. Koodi, suunnitelmat ja dokumentit toimitetaan teidän omiin repositorioihinne ja työkaluihinne, eikä niitä säilytetä paikassa, jossa vain me voimme muuttaa niitä.
Valmistaudutteko auditointiin?
Kertokaa standardi, laajuus ja mahdollinen auditointipäivä tai asiakkaan määräaika, jota kohti työskentelette. Saatte vastauksen yhden työpäivän kuluessa: aukkoanalyysin laajuuden, valmiussuunnitelman tai ehdokasprofiileja.