Tjenester for sikkerhets-compliance og revisjonsberedskap
Sikkerhets-compliance og revisjonsberedskap for ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 og DORA: gapanalyser, de tekniske kontrollene revisorene tester, retningslinjer og risikoregistre, og beviset for at hver kontroll kjører, med dedikerte compliance-ingeniører til teamet deres eller et beredskapsprosjekt levert frem til revisjonen.
Compliance-arbeid vi tar på oss
Innføring av ISO 27001
Omfanget, risikovurderingen og Statement of Applicability for ISMS-et deres, Annex A-kontrollene bygget inn i systemene og prosessene deres, retningslinjer folk faktisk følger, og en intern revisjon og ledelsens gjennomgang fullført før sertifiseringsorganets revisjoner i trinn 1 og trinn 2.
Beredskap for SOC 2
Trust Services Criteria i omfanget valgt sammen med dere, gap funnet og lukket, kontroller i drift før en Type I-rapport, og bevis samlet gjennom observasjonsperioden en Type II-rapport dekker, klare for CPA-firmaets testing.
Tekniske tiltak for GDPR
Personopplysninger kartlagt på tvers av databaser, logger og leverandører, innsyns- og slettingsforespørsler håndtert av produktet i stedet for manuelt, lagringstid håndhevet med planlagt sletting, kryptering og pseudonymisering der risikoen krever det, og protokoller over behandling og DPIA-er holdt oppdatert.
Støtte under revisjonens feltarbeid
En navngitt ingeniør på revisorens forespørselsliste under feltarbeidet: populasjoner eksportert for utvalg, gjennomgang av hvordan hver kontroll fungerer, og hvert avvik besvart med en datert utbedringsplan før rapporten ferdigstilles.
PCI DSS-compliance
Omfanget av kortholderdata redusert med tokenisering og hostede betalingsfelt, kontroller bygget etter PCI DSS v4.0.1, inkludert oversikt over og integritetsovervåking av skript på betalingssider, kvartalsvise ASV-skanninger og den årlige penetrasjonstesten, klare for et egenvurderingsskjema eller en QSAs Report on Compliance.
Sikkerhetstiltak for HIPAA
De administrative, fysiske og tekniske sikkerhetstiltakene i HIPAA Security Rule bygget inn i produktet: en dokumentert risikoanalyse, unike bruker-ID-er, revisjonslogger på hver tilgang til beskyttet helseinformasjon, kryptering og business associate agreements med hver sky- og SaaS-leverandør som berører dataene.
Beredskap for NIS2
Risikostyringstiltakene og hendelsesrapporteringen landets NIS2-lov krever: styring godkjent av ledelsen, sikkerhet i leverandørkjeden, flerfaktorautentisering, kryptering, forretningskontinuitet og en rapporteringsprosess som holder den nasjonale myndighetens frister.
IKT-risiko og motstandsdyktighet under DORA
For finansielle foretak og IKT-leverandørene som betjener dem: rammeverket for IKT-risikostyring, klassifisering og rapportering av alvorlige IKT-relaterte hendelser, registeret over IKT-tredjepartsleverandører, kontraktsklausulene DORA krever og testing av motstandsdyktighet planlagt og dokumentert.
Sikkerhetsspørreskjemaer og trust-sentre
Kunders sikkerhetsspørreskjemaer som SIG og CAIQ besvart fra ett vedlikeholdt bibliotek med godkjente svar, et trust-senter som deler rapportene deres under NDA, og kontrollene bak hvert svar holdt korrekte etter hvert som produktet endres.
Lei inn compliance-ingeniører
Dedikerte compliance-ingeniører
Compliance-ingeniører som blir en del av teamet deres på heltid, jobber i verktøyene og prosessen deres, og rapporterer til lederen deres. Dere intervjuer dem, og vi tar oss av den ukrainske kontrakten, lønn, fakturering og fravær.
Prosjekter innen Compliance engineering
En avgrenset del av compliance engineering med et omfang, en fast plan og en navngitt leder hos oss som eier resultatet og rapporterer fremdrift i kanalene deres.
Løpende compliance engineering
Compliance engineering som en løpende tjeneste: de samme menneskene hver måned, en backlog dere prioriterer, og timer dere kan se i portalen vår og på fakturaen.
Siden om dedikert team forklarer hvordan spesialister blir med i teamet deres, og siden om outsourcing dekker prosjektleveranse, overtakelser og hvordan vi priser.
Hvem som jobber med compliance engineering for dere
Compliance-ingeniører
Kontroller, bevis og forespørsler fra revisorer
Informasjonssikkerhetssjefer
ISMS, retningslinjer, risikoregistre og ledelsens gjennomganger
Sky- og DevOps-ingeniører
Tekniske kontroller som infrastruktur som kode
Personvernutviklere
Kartlegging av data for GDPR, lagringstid og forespørsler fra registrerte
Penetrasjonstestere
Testene revisorer og standarder krever
Slik forbereder vi dere til en revisjon
Sertifikater utstedes av akkrediterte sertifiseringsorganer, SOC 2-rapporter av uavhengige CPA-firmaer og PCI DSS Reports on Compliance av QSA-er. Vår del er kontrollene og beviset de tester. Arbeidet starter med en gapanalyse mot standarden og omfanget dere trenger, deretter en plan ordnet etter hva revisoren tester først, med hver kontroll bygget inn i systemene deres og ikke bare skrevet inn i en retningslinje.
Kontroller implementeres som kode overalt hvor det er mulig: tilgangsregler, kryptering, logging, sikkerhetskopier og godkjenning av endringer ligger i Terraform og pipelinene, slik at beviset er en logg systemet produserer og ikke et skjermbilde tatt uken før revisjonen. Vi anvender den samme disiplinen på våre egne enheter: laptopene våre kontrolleres av en agent vi har skrevet i Rust mot sikkerhetsgrunnlaget vårt, på Windows, macOS og Ubuntu, med kontroller knyttet til ISO 27001, CIS, Cyber Essentials, Essential Eight og SOC 2.
Andre tjenester for sky, DevOps og sikkerhet
AWS-utvikling
AWS-utviklingstjenester: containere på EKS og ECS, serverless, landing zones, migreringer, databaser, dataplattformer, generativ AI med Bedrock, sikkerhet og kostnadsoptimalisering, med dedikerte AWS-ingeniører eller prosjektleveranse.
Google Cloud-utvikling
Google Cloud-utviklingstjenester: Cloud Run og GKE, BigQuery, Firebase-backend, Cloud SQL og AlloyDB, Gemini på Agent Platform, sikkerhet og migreringer, med dedikerte Google Cloud-ingeniører eller prosjektleveranse.
Kubernetes-rådgivning
Kubernetes-rådgivning og -utvikling: klynger på EKS, AKS, GKE og on-premises, Helm, GitOps med Argo CD eller Flux, klyngesikkerhet, oppgraderinger og GPU-arbeidslaster, med dedikerte Kubernetes-ingeniører eller prosjektleveranse.
DevOps og CI/CD
DevOps- og CI/CD-tjenester: pipelines, Terraform og infrastruktur som kode, observerbarhet, SRE og vaktordning, DevSecOps, platform engineering og FinOps, med dedikerte DevOps- og SRE-ingeniører eller løpende DevOps-arbeid.
Cybersikkerhet og pentesting
Tjenester innen cybersikkerhet og penetrasjonstesting: pentester av web, mobil, API, nettverk og sky, sikker kodegjennomgang, SOC og hendelseshåndtering, ISO 27001 og SOC 2, med dedikerte sikkerhetsingeniører eller avgrensede prosjekter.
IT-infrastruktur
Tjenester innen IT-infrastruktur og systemadministrasjon: Windows- og Linux-servere, nettverk, Microsoft 365 og Entra ID, virtualisering, sikkerhetskopiering og telekom, med dedikerte systemadministratorer eller løpende support.
Site reliability engineering
Tjenester innen site reliability engineering: SLO-er, observerbarhet med OpenTelemetry, vaktordning og hendelseshåndtering, lasttesting, katastrofegjenoppretting og chaos engineering, med dedikerte SRE-ingeniører eller prosjektleveranse.
Platform engineering
Tjenester innen platform engineering: interne utviklerplattformer, Backstage-portaler, golden paths og maler, selvbetjent infrastruktur og Kubernetes-plattformer, med dedikerte plattformingeniører eller prosjektleveranse.
Skyarkitektur
Tjenester innen skyarkitektur og rådgivning: arkitektur for AWS, Azure og Google Cloud, migreringsplaner, landing zones, Well-Architected-gjennomganger, robusthet og kostnader, med dedikerte skyarkitekter eller prosjektleveranse.
FinOps
Tjenester innen FinOps og kostnadsoptimalisering i skyen: kostnadsfordeling, rightsizing, savings plans og reservasjoner, Kubernetes-, data- og AI-kostnader, budsjetter og varsler om avvik, med dedikerte FinOps-ingeniører eller prosjektleveranse.
Terraform og IaC
Tjenester innen Terraform og infrastruktur som kode: Terraform- og OpenTofu-moduler, import av eksisterende ressurser, plan- og apply-pipelines, kontroll av konfigurasjonsavvik, policy as code og Ansible, med dedikerte Terraform-ingeniører eller prosjektleveranse.
Linux-administrasjon
Tjenester innen Linux-administrasjon: servere med Ubuntu, Debian, RHEL, Rocky Linux og AlmaLinux som settes opp, oppdateres, herdes, overvåkes og sikkerhetskopieres, samt oppgraderinger av versjoner som har nådd end of life, med dedikerte Linux-administratorer eller løpende support.
Nettverksteknikk
Tjenester innen nettverksteknikk: ruting og svitsjing, brannmurer, SD-WAN og zero trust-tilgang, skynettverk, Wi-Fi og automatisering på Cisco, Juniper og Fortinet, med dedikerte nettverksingeniører eller prosjektleveranse.
Skysikkerhet
Tjenester innen skysikkerhet: CSPM og CNAPP, IAM-gjennomganger, Kubernetes-sikkerhet, nettverks- og databeskyttelse samt compliance i skyen på AWS, Azure og Google Cloud, med dedikerte skysikkerhetsingeniører eller prosjektleveranse.
SOC og sikkerhetsovervåking
SOC som tjeneste og sikkerhetsovervåking: managed SOC, innføring av SIEM, tilkobling av loggkilder, detection engineering, EDR, threat hunting og beredskapsavtaler for hendelseshåndtering, med dedikerte SOC-analytikere eller løpende overvåking.
Spørsmål om sikkerhets-compliance
Hvilke bransjer jobber compliance-ingeniørene deres i?
Mest SaaS- og programvareselskaper som forbereder seg på SOC 2 og ISO 27001 fordi kundene deres ber om det. Fintech, bank og forsikring, under PCI DSS og DORA. Helse- og medtech-produkter som behandler pasientdata under HIPAA og GDPR. E-handel og detaljhandel som tar imot kortbetalinger. Cybersikkerhetsselskaper. Og industri-, energi-, hosting- og telekomselskaper som omfattes av NIS2.
Hvor lang tid tar det å bli klar for en ISO 27001- eller SOC 2-revisjon?
Det avhenger av omfanget og hvor mye som allerede er på plass, så en gapanalyse kommer først og ender med en datert plan. En SOC 2 Type II-rapport trenger også en observasjonsperiode, vanligvis tre til tolv måneder, der kontrollene kjører og etterlater bevis, og den perioden kan starte så snart kontrollene er i drift.
Gjelder NIS2, DORA og Cyber Resilience Act for oss?
Det avhenger av sektoren deres, størrelsen og hva dere selger i EU. NIS2 dekker mellomstore og store foretak i kritiske sektorer gjennom hvert lands egen lov. DORA har gjeldt for finansielle foretak i EU siden 17. januar 2025 og når IKT-leverandørene deres gjennom kontrakter. Og Cyber Resilience Act krever at produsenter av produkter med digitale elementer rapporterer aktivt utnyttede sårbarheter fra 11. september 2026, med hovedforpliktelsene fra 11. desember 2027. Vi kartlegger hvilke som gjelder dere og bygger kontrollene hver av dem krever.
Hvor raskt kan compliance-ingeniører starte?
Når rett compliance-ingeniør er tilgjengelig, avhenger starten bare av intervjuet deres, NDA-en og IP-overdragelsen. Ellers gjennomfører vi et søk, som vanligvis gir kandidatprofiler innen to til tre uker, og ingen starter før dere har sagt ja.
Hvordan leier vi inn compliance-ingeniører gjennom BigTree108?
Fortell oss om arbeidet, erfaringsnivået og timene dere trenger. Vi foreslår én eller to personer med profilene deres, dere intervjuer dem slik dere ville intervjuet en egen ansatt, og dere signerer én avtale med BIG TREE 108 LLC og får én faktura i måneden.
Hvem eier arbeidet de leverer?
Det gjør dere. Hver spesialist har en signert kontrakt med BigTree108 som overdrar alt arbeidsresultat til selskapet, og avtalen vår med dere overdrar det videre til dere. Kode, design og dokumenter leveres inn i deres egne repositorier og verktøy, og oppbevares ikke der bare vi kan endre dem.
Forbereder dere en revisjon?
Fortell oss om standarden, omfanget og eventuelle revisjonsdatoer eller kundefrister dere jobber mot. Dere får svar innen én virkedag: et omfang for en gapanalyse, en beredskapsplan eller kandidatprofiler.