Przejdź do treści
BigTree108

Usługi zgodności z wymogami bezpieczeństwa i gotowości do audytu

Zgodność z wymogami bezpieczeństwa i gotowość do audytu dla ISO 27001, SOC 2, RODO, PCI DSS, HIPAA, NIS2 i DORA: oceny luk, kontrole techniczne testowane przez audytorów, polityki i rejestry ryzyk oraz dowody potwierdzające działanie każdej kontroli, z dedykowanymi inżynierami compliance w Państwa zespole lub projektem przygotowania do audytu realizowanym aż do jego terminu.

Prace compliance, które podejmujemy

  • Wdrożenie ISO 27001

    Zakres, ocena ryzyka i Deklaracja stosowania (Statement of Applicability) dla Państwa ISMS, kontrole z Załącznika A wbudowane w systemy i procesy, polityki, których ludzie faktycznie przestrzegają, oraz audyt wewnętrzny i przegląd zarządzania zakończone przed audytami Stage 1 i Stage 2 jednostki certyfikującej.

  • Przygotowanie do SOC 2

    Kryteria Trust Services objęte zakresem, wybrane wspólnie z Państwem, luki znalezione i zamknięte, kontrole działające przed raportem Type I oraz dowody zbierane w okresie obserwacji, który obejmuje raport Type II, gotowe do testów przeprowadzanych przez firmę CPA.

  • Środki techniczne RODO

    Dane osobowe zmapowane w bazach danych, logach i u dostawców, wnioski o dostęp i usunięcie danych obsługiwane przez produkt, a nie ręcznie, retencja egzekwowana przez zaplanowane usuwanie, szyfrowanie i pseudonimizacja tam, gdzie wymaga tego ryzyko, oraz rejestry czynności przetwarzania i oceny skutków dla ochrony danych (DPIA) utrzymywane na bieżąco.

  • Wsparcie w czasie audytu

    Wskazany inżynier na liście próśb audytora w czasie prac w terenie: populacje wyeksportowane do próbkowania, omówienia działania każdej kontroli i odpowiedź na każdy wyjątek z datowanym planem naprawczym, zanim raport zostanie sfinalizowany.

  • Zgodność z PCI DSS

    Zakres danych posiadaczy kart zmniejszony przez tokenizację i hostowane pola płatnicze, kontrole zbudowane zgodnie z PCI DSS v4.0.1, w tym inwentaryzacja i monitorowanie integralności skryptów na stronach płatności, kwartalne skany ASV i coroczny test penetracyjny, gotowe do kwestionariusza samooceny lub Report on Compliance od QSA.

  • Zabezpieczenia HIPAA

    Administracyjne, fizyczne i techniczne zabezpieczenia HIPAA Security Rule wbudowane w produkt: udokumentowana analiza ryzyka, unikalne identyfikatory użytkowników, dzienniki audytu przy każdym dostępie do chronionych informacji zdrowotnych, szyfrowanie oraz umowy business associate agreements z każdym dostawcą chmury i SaaS, który ma styczność z tymi danymi.

  • Gotowość do NIS2

    Środki zarządzania ryzykiem i zgłaszanie incydentów, których wymaga ustawa o NIS2 w Państwa kraju: nadzór zatwierdzony przez zarząd, bezpieczeństwo łańcucha dostaw, uwierzytelnianie wieloskładnikowe, szyfrowanie, ciągłość działania oraz proces zgłaszania spełniający terminy organu krajowego.

  • Ryzyko ICT i odporność według DORA

    Dla podmiotów finansowych i dostawców ICT, którzy im służą: ramy zarządzania ryzykiem ICT, klasyfikacja i zgłaszanie poważnych incydentów związanych z ICT, rejestr informacji o zewnętrznych dostawcach ICT, klauzule umowne wymagane przez DORA oraz testy odporności zaplanowane i udokumentowane.

  • Kwestionariusze bezpieczeństwa i trust centers

    Kwestionariusze bezpieczeństwa klientów, takie jak SIG i CAIQ, uzupełniane z jednej utrzymywanej biblioteki zatwierdzonych odpowiedzi, trust center udostępniające Państwa raporty na podstawie NDA oraz kontrole stojące za każdą odpowiedzią, utrzymywane zgodnie z prawdą w miarę zmian produktu.

Zatrudnienie: inżynierowie compliance

  • Dedykowani inżynierowie compliance

    Inżynierowie compliance dołączają do Państwa zespołu na pełny etat, pracują w Państwa narzędziach i procesie oraz podlegają Państwa liderowi. Państwo przeprowadzają rozmowy kwalifikacyjne, a my bierzemy na siebie ukraińską umowę, wynagrodzenia, fakturowanie i urlopy.

  • Projekty: Inżynieria compliance

    Wydzielona część prac w obszarze „inżynieria compliance”, z określonym zakresem, stałym planem i wskazanym liderem po naszej stronie, który odpowiada za wynik i raportuje postępy w Państwa kanałach.

  • Stała współpraca: inżynieria compliance

    Usługa ciągła w obszarze „Inżynieria compliance”: ci sami ludzie co miesiąc, backlog, któremu Państwo ustalają priorytety, oraz godziny widoczne w naszym portalu i na fakturze.

Strona o dedykowanym zespole wyjaśnia, jak specjaliści dołączają do Państwa zespołu, a strona o outsourcingu opisuje realizację projektów, przejęcia i sposób rozliczania.

Kto realizuje Państwa prace w obszarze „inżynieria compliance”

  • Inżynierowie compliance

    Kontrole, dowody i prośby audytora

  • Menedżerowie bezpieczeństwa informacji

    ISMS, polityki, rejestry ryzyk i przeglądy zarządzania

  • Inżynierowie chmury i DevOps

    Kontrole techniczne jako infrastruktura jako kod

  • Inżynierowie prywatności

    Mapowanie danych RODO, retencja i żądania osób, których dane dotyczą

  • Pentesterzy

    Testy wymagane przez audytorów i standardy

Jak przygotowujemy do audytu

Certyfikaty wydają akredytowane jednostki certyfikujące, raporty SOC 2 niezależne firmy CPA, a Reports on Compliance dla PCI DSS kwalifikowani audytorzy QSA; naszą częścią są kontrole i dowody, które testują. Praca zaczyna się od oceny luk względem standardu i potrzebnego zakresu, a następnie planu uporządkowanego według tego, co audytor testuje najpierw, z każdą kontrolą wbudowaną w Państwa systemy, a nie zapisaną jedynie w polityce.

Kontrole są wdrażane jako kod wszędzie, gdzie to możliwe: reguły dostępu, szyfrowanie, logowanie, kopie zapasowe i zatwierdzanie zmian znajdują się w Terraform i pipeline, więc dowodem jest zapis tworzony przez system, a nie zrzut ekranu zrobiony tydzień przed audytem. Tę samą dyscyplinę stosujemy do własnych urządzeń: nasze laptopy są sprawdzane przez napisanego przez nas w Rust agenta względem naszego wzorca bezpieczeństwa, w systemach Windows, macOS i Ubuntu, a kontrole są powiązane z ISO 27001, CIS, Cyber Essentials, Essential Eight i SOC 2.

Pozostałe usługi chmury, DevOps i bezpieczeństwa

Chmura, DevOps i bezpieczeństwo: przegląd

Pytania o zgodność z wymogami bezpieczeństwa

W jakich branżach pracują Państwa inżynierowie compliance?

Głównie firmy SaaS i programistyczne przygotowujące się do SOC 2 i ISO 27001, ponieważ pytają o nie ich klienci; fintech, bankowość i ubezpieczenia, w ramach PCI DSS i DORA; produkty ochrony zdrowia i medtech przetwarzające dane pacjentów w ramach HIPAA i RODO; firmy e-commerce i handlu detalicznego przyjmujące płatności kartą; firmy cyberbezpieczeństwa oraz firmy przemysłowe, energetyczne, hostingowe i telekomunikacyjne objęte NIS2.

Ile czasu zajmuje przygotowanie do audytu ISO 27001 lub SOC 2?

To zależy od zakresu i od tego, ile jest już wdrożone, dlatego najpierw jest ocena luk, która kończy się datowanym planem. Raport SOC 2 Type II wymaga też okresu obserwacji, zwykle od trzech do dwunastu miesięcy, w którym kontrole działają i zostawiają dowody, a ten okres może zacząć się, gdy tylko kontrole zostaną uruchomione.

Czy NIS2, DORA i Cyber Resilience Act mają do nas zastosowanie?

To zależy od Państwa sektora, wielkości i tego, co sprzedają Państwo w UE. NIS2 obejmuje średnie i duże podmioty w sektorach krytycznych przez ustawodawstwo każdego kraju; DORA obowiązuje unijne podmioty finansowe od 17 stycznia 2025 i sięga ich dostawców ICT przez umowy; a Cyber Resilience Act wymaga od producentów produktów z elementami cyfrowymi aktywnego zgłaszania wykorzystywanych podatności od 11 września 2026, a jego główne obowiązki stosuje się od 11 grudnia 2027. Ustalamy, które z nich Państwa dotyczą, i budujemy kontrole, jakich każdy z nich wymaga.

Jak szybko mogą zacząć inżynierowie compliance?

Gdy odpowiedni inżynier compliance jest dostępny, o terminie startu decydują wyłącznie Państwa rozmowa oraz NDA i przeniesienie praw własności intelektualnej. W przeciwnym razie prowadzimy poszukiwania, które zwykle dają profile kandydatów w ciągu dwóch do trzech tygodni, a nikt nie zaczyna pracy, dopóki Państwo nie powiedzą „tak”.

Jak wygląda zatrudnienie przez BigTree108: inżynierowie compliance?

Prosimy o informację o zakresie pracy, poziomie doświadczenia i potrzebnych godzinach. Proponujemy jedną lub dwie osoby wraz z ich profilami, Państwo przeprowadzają z nimi rozmowy tak, jak z własnym kandydatem, podpisują jedną umowę z BIG TREE 108 LLC i otrzymują jedną fakturę miesięcznie.

Do kogo należy praca, którą wykonują?

Do Państwa. Każdy specjalista ma podpisaną z BigTree108 umowę, która przenosi wszystkie rezultaty pracy na spółkę, a nasza umowa z Państwem przenosi je dalej. Kod, projekty i dokumenty są przekazywane do Państwa własnych repozytoriów i narzędzi, a nie przechowywane tam, gdzie zmieniać je możemy tylko my.

Przygotowują się Państwo do audytu?

Prosimy podać standard, zakres oraz termin audytu lub klienta, do którego Państwo zmierzają. Odpowiedź otrzymają Państwo w ciągu jednego dnia roboczego: zakres oceny luk, plan gotowości lub profile kandydatów.

E-mail: hello@bigtree108.comJak odpowiadamy