Vai al contenuto
BigTree108

Servizi di compliance di sicurezza e preparazione agli audit

Compliance di sicurezza e preparazione agli audit per ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 e DORA: gap assessment, controlli tecnici che gli auditor verificano, policy e registri dei rischi, e le evidenze che dimostrano che ogni controllo funziona, con compliance engineer dedicati per il Suo team o con un progetto di preparazione consegnato fino al Suo audit.

Il lavoro di compliance che prendiamo in carico

  • Implementazione di ISO 27001

    Ambito, valutazione dei rischi e Dichiarazione di applicabilità per il Suo SGSI (ISMS), controlli dell’Annex A integrati nei Suoi sistemi e processi, policy che le persone seguono davvero, e un audit interno e un riesame della direzione completati prima degli audit di Stage 1 e Stage 2 dell’ente di certificazione.

  • Preparazione al SOC 2

    I Trust Services Criteria nell’ambito scelti insieme a Lei, lacune individuate e colmate, controlli attivi prima di un report Type I ed evidenze raccolte durante il periodo di osservazione coperto da un report Type II, pronte per le verifiche della società di revisione CPA.

  • Misure tecniche GDPR

    Dati personali mappati tra database, log e fornitori, richieste di accesso e di cancellazione gestite dal prodotto anziché a mano, conservazione applicata con cancellazione pianificata, cifratura e pseudonimizzazione dove il rischio lo richiede, e registri dei trattamenti e DPIA tenuti aggiornati.

  • Supporto al lavoro sul campo dell’audit

    Un ingegnere indicato per nome nell’elenco delle richieste dell’auditor durante il lavoro sul campo: popolazioni esportate per il campionamento, walkthrough del funzionamento di ogni controllo e ogni eccezione affrontata con un piano di rimedio datato prima che il rapporto sia finalizzato.

  • Conformità a PCI DSS

    Ambito dei dati dei titolari di carta ridotto con tokenizzazione e campi di pagamento ospitati, controlli costruiti secondo PCI DSS v4.0.1, compresi l’inventario e il monitoraggio dell’integrità degli script nelle pagine di pagamento, le scansioni ASV trimestrali e il penetration test annuale, pronti per un questionario di autovalutazione o per il Report on Compliance di un QSA.

  • Salvaguardie HIPAA

    Le salvaguardie amministrative, fisiche e tecniche della HIPAA Security Rule integrate nel prodotto: un’analisi dei rischi documentata, ID utente univoci, audit log su ogni accesso alle informazioni sanitarie protette, cifratura e business associate agreement con ogni provider cloud e SaaS che tocca i dati.

  • Preparazione alla NIS2

    Le misure di gestione del rischio e la segnalazione degli incidenti richieste dalla legge NIS2 del Suo Paese: governance approvata dalla direzione, sicurezza della catena di fornitura, autenticazione a più fattori, cifratura, continuità operativa e un processo di segnalazione che rispetti le scadenze dell’autorità nazionale.

  • Rischio ICT e resilienza DORA

    Per le entità finanziarie e i provider ICT che le servono: il quadro di gestione del rischio ICT, la classificazione e la segnalazione degli incidenti ICT gravi, il registro delle informazioni sui fornitori terzi di servizi ICT, le clausole contrattuali che DORA richiede e i test di resilienza pianificati e documentati.

  • Questionari di sicurezza e trust center

    Questionari di sicurezza dei clienti come SIG e CAIQ compilati da un’unica libreria mantenuta di risposte approvate, un trust center che condivide i Suoi rapporti previa NDA e i controlli alla base di ogni risposta mantenuti veritieri man mano che il prodotto cambia.

Ingaggiare compliance engineer

  • compliance engineer dedicati

    Compliance engineer che entrano a tempo pieno nel Suo team, lavorano con i Suoi strumenti e il Suo processo e rispondono al Suo responsabile. Li intervista Lei; noi ci occupiamo del contratto ucraino, delle buste paga, della fatturazione e delle ferie.

  • Progetti di Compliance engineering

    Un’attività di compliance engineering ben definita, con un perimetro, un piano fisso e un responsabile nominato da parte nostra che risponde del risultato e riferisce sull’avanzamento nei Suoi canali.

  • compliance engineering su base continuativa

    Compliance engineering come servizio continuativo: le stesse persone ogni mese, un backlog di cui Lei stabilisce le priorità e ore che può vedere nel nostro portale e in fattura.

La pagina sul team dedicato spiega come gli specialisti entrano nel Suo team, e la pagina sull’outsourcing tratta la realizzazione di progetti, le prese in carico e il modo in cui fatturiamo.

Chi si occupa di compliance engineering per Lei

  • Compliance engineer

    Controlli, evidenze e richieste degli auditor

  • Information security manager

    SGSI, policy, registri dei rischi e riesami della direzione

  • Ingegneri cloud e DevOps

    Controlli tecnici come infrastructure as code

  • Privacy engineer

    Mappatura dei dati GDPR, conservazione e richieste degli interessati

  • Penetration tester

    I test richiesti da auditor e standard

Come La prepariamo a un audit

I certificati sono rilasciati da enti di certificazione accreditati, i report SOC 2 da società di revisione CPA indipendenti e i Report on Compliance PCI DSS da QSA; la nostra parte sono i controlli e le evidenze che verificano. Il lavoro parte con un gap assessment rispetto allo standard e all’ambito di cui ha bisogno, poi un piano ordinato in base a ciò che l’auditor verifica per primo, con ogni controllo integrato nei Suoi sistemi anziché scritto solo in una policy.

I controlli sono implementati come codice ovunque sia possibile: regole di accesso, cifratura, logging, backup e approvazione delle modifiche vivono in Terraform e nelle pipeline, così l’evidenza è una registrazione prodotta dal sistema anziché uno screenshot fatto la settimana prima dell’audit. Applichiamo la stessa disciplina ai nostri dispositivi: i nostri laptop sono controllati da un agente che abbiamo scritto in Rust rispetto alla nostra baseline di sicurezza, su Windows, macOS e Ubuntu, con controlli mappati su ISO 27001, CIS, Cyber Essentials, Essential Eight e SOC 2.

Altri servizi di cloud, DevOps e sicurezza

Panoramica: Cloud, DevOps e sicurezza

Domande sulla compliance di sicurezza

In quali settori lavorano i vostri compliance engineer?

Soprattutto SaaS e software house che si preparano a SOC 2 e ISO 27001 perché i loro clienti li chiedono; fintech, banche e assicurazioni, sotto PCI DSS e DORA; prodotti sanitari e medtech che trattano dati dei pazienti sotto HIPAA e GDPR; e-commerce e retail che accettano pagamenti con carta; aziende di cybersecurity; e aziende industriali, energetiche, di hosting e telecomunicazioni soggette alla NIS2.

Quanto serve per prepararsi a un audit ISO 27001 o SOC 2?

Dipende dall’ambito e da quanto è già in atto, quindi si parte da un gap assessment che termina con un piano datato. Un report SOC 2 Type II richiede inoltre un periodo di osservazione, di solito da tre a dodici mesi, durante il quale i controlli funzionano e lasciano evidenze, e quel periodo può iniziare non appena i controlli sono attivi.

NIS2, DORA e il Cyber Resilience Act si applicano a noi?

Dipende dal Suo settore, dalle Sue dimensioni e da ciò che vende nell’UE. La NIS2 riguarda le entità medie e grandi dei settori critici tramite la legge di ciascun Paese; DORA si applica alle entità finanziarie dell’UE dal 17 gennaio 2025 e raggiunge i loro fornitori ICT attraverso i contratti; e il Cyber Resilience Act impone ai produttori di prodotti con elementi digitali di segnalare attivamente le vulnerabilità sfruttate dall’11 settembre 2026, con i principali obblighi che si applicano dall’11 dicembre 2027. Individuiamo quali si applicano a Lei e costruiamo i controlli che ciascuno richiede.

Con quale rapidità possono iniziare compliance engineer?

Quando è disponibile il profilo giusto per il ruolo di compliance engineer, l’avvio dipende soltanto dal Suo colloquio e dalla firma dell’NDA e della cessione della proprietà intellettuale. Altrimenti avviamo una ricerca, che di norma produce profili di candidati entro due o tre settimane, e nessuno inizia finché Lei non ha detto di sì.

Come ingaggiare compliance engineer tramite BigTree108?

Ci indichi il lavoro, il livello di seniority e l’impegno orario necessario. Le proponiamo una o due persone con i rispettivi profili, Lei le intervista come farebbe con una Sua assunzione e firma un unico contratto con BIG TREE 108 LLC, ricevendo una sola fattura al mese.

A chi appartiene il lavoro che producono?

A Lei. Ogni specialista ha un contratto firmato con BigTree108 che cede all’azienda tutto il lavoro prodotto, e il nostro accordo con Lei lo cede a sua volta. Codice, design e documenti vengono consegnati nei Suoi repository e strumenti, non conservati dove solo noi possiamo modificarli.

Si sta preparando a un audit?

Ci indichi lo standard, l’ambito e l’eventuale data di audit o scadenza di un cliente verso cui sta lavorando. Riceve una risposta entro un giorno lavorativo: un ambito per un gap assessment, un piano di preparazione o profili di candidati.

Scrivere a hello@bigtree108.comCome rispondiamo