Tjänster inom säkerhetsefterlevnad och revisionsberedskap
Säkerhetsefterlevnad och revisionsberedskap för ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 och DORA: gap-analyser, de tekniska kontroller som revisorerna testar, policyer och riskregister samt det underlag som visar att varje kontroll fungerar, med dedikerade compliance-ingenjörer till ert team eller ett beredskapsprojekt som levereras fram till er revision.
Efterlevnadsarbete vi tar oss an
Implementering av ISO 27001
Omfattningen, riskbedömningen och Statement of Applicability för ert ISMS, Annex A-kontrollerna inbyggda i era system och processer, policyer som människor faktiskt följer samt en intern revision och en ledningens genomgång som är klara före certifieringsorganets revisioner i Stage 1 och Stage 2.
SOC 2-beredskap
De Trust Services Criteria som omfattas valda tillsammans med er, luckor som hittas och stängs, kontroller som körs före en Type I-rapport och underlag som samlas in under den observationsperiod en Type II-rapport omfattar, redo för revisionsbyråns (CPA) testning.
Tekniska åtgärder för GDPR
Personuppgifter kartlagda över databaser, loggar och leverantörer, begäranden om åtkomst och radering som hanteras av produkten i stället för för hand, lagringstider som upprätthålls genom schemalagd radering, kryptering och pseudonymisering där risken kräver det samt register över behandling och konsekvensbedömningar (DPIA) som hålls aktuella.
Stöd under revisionens fältarbete
En namngiven ingenjör på revisorns önskelista under fältarbetet: populationer som exporteras för stickprov, genomgångar av hur varje kontroll fungerar och varje avvikelse besvarad med en daterad åtgärdsplan innan rapporten slutförs.
Efterlevnad av PCI DSS
Omfattningen för kortinnehavardata minskad med tokenisering och hostade betalningsfält, kontroller byggda enligt PCI DSS v4.0.1, inklusive inventering och integritetsövervakning av skript på betalningssidor, kvartalsvisa ASV-skanningar och det årliga penetrationstestet, redo för ett självbedömningsformulär eller en QSA:s Report on Compliance.
HIPAA-skydd
De administrativa, fysiska och tekniska skydden i HIPAA Security Rule inbyggda i produkten: en dokumenterad riskanalys, unika användar-ID:n, granskningsloggar för varje åtkomst till skyddad hälsoinformation, kryptering samt business associate agreements med varje moln- och SaaS-leverantör som berör datan.
Beredskap för NIS2
De riskhanteringsåtgärder och den incidentrapportering som ert lands NIS2-lag kräver: styrning som godkänns av ledningen, säkerhet i leverantörskedjan, multifaktorautentisering, kryptering, kontinuitet i verksamheten och en rapporteringsprocess som möter den nationella myndighetens tidsfrister.
DORA: IKT-risk och motståndskraft
För finansiella företag och de IKT-leverantörer som betjänar dem: ramverket för IKT-riskhantering, klassificering och rapportering av större IKT-relaterade incidenter, informationsregistret över IKT-tredjepartsleverantörer, de avtalsklausuler som DORA kräver samt resiliensprov som planeras och dokumenteras.
Säkerhetsenkäter och trust centers
Kunders säkerhetsenkäter som SIG och CAIQ besvarade från ett enda underhållet bibliotek med godkända svar, ett trust center som delar era rapporter under NDA och de kontroller som ligger bakom varje svar hållna sanna när produkten förändras.
Anlita compliance-ingenjörer
Dedikerade compliance-ingenjörer
Compliance-ingenjörer som går med i ert team på heltid, arbetar i era verktyg och er process och rapporterar till er teamledare. Ni intervjuar dem; vi står för det ukrainska avtalet, lönen, faktureringen och ledigheten.
Projekt inom Compliance engineering
En avgränsad insats inom compliance engineering med omfång, fast plan och en namngiven ledare hos oss som äger resultatet och rapporterar framsteg i era kanaler.
Löpande compliance engineering
Compliance engineering som löpande tjänst: samma personer varje månad, en backlog ni prioriterar och timmar ni kan se i vår portal och på fakturan.
Sidan om dedikerade team förklarar hur specialister går med i ert team, och sidan om outsourcing beskriver projektleverans, övertaganden och hur vi debiterar.
Vilka som arbetar med compliance engineering åt er
Compliance-ingenjörer
Kontroller, underlag och revisorers begäranden
Informationssäkerhetsansvariga
ISMS, policyer, riskregister och ledningens genomgångar
Moln- och DevOps-ingenjörer
Tekniska kontroller som infrastruktur som kod
Dataskyddsingenjörer
GDPR-kartläggning av data, lagring och registrerades begäranden
Penetrationstestare
De tester som revisorer och standarder kräver
Så förbereder vi er inför en revision
Certifikat utfärdas av ackrediterade certifieringsorgan, SOC 2-rapporter av oberoende CPA-byråer och PCI DSS Reports on Compliance av QSA:er; vår del är kontrollerna och det underlag de testar. Arbetet börjar med en gap-analys mot standarden och den omfattning ni behöver, därefter en plan ordnad efter vad revisorn testar först, där varje kontroll byggs in i era system i stället för att bara skrivas in i en policy.
Kontroller implementeras som kod så långt det går: åtkomstregler, kryptering, loggning, säkerhetskopior och godkännande av ändringar finns i Terraform och pipelines, så att underlaget är en post som systemet själv producerar i stället för en skärmdump som tas veckan före revisionen. Samma disciplin tillämpar vi på våra egna enheter: våra bärbara datorer kontrolleras av en agent som vi skrivit i Rust mot vår säkerhetsbaslinje, på Windows, macOS och Ubuntu, med kontroller som är mappade mot ISO 27001, CIS, Cyber Essentials, Essential Eight och SOC 2.
Andra tjänster inom moln, DevOps och säkerhet
AWS-utveckling
Tjänster inom AWS-utveckling: containrar på EKS och ECS, serverless, landing zones, migreringar, databaser, dataplattformar, generativ AI med Bedrock, säkerhet och kostnadsoptimering, med dedikerade AWS-ingenjörer eller projektleverans.
Google Cloud-utveckling
Tjänster inom Google Cloud-utveckling: Cloud Run och GKE, BigQuery, backends i Firebase, Cloud SQL och AlloyDB, Gemini på Agent Platform, säkerhet och migreringar, med dedikerade Google Cloud-ingenjörer eller projektleverans.
Kubernetes-rådgivning
Rådgivning och utveckling kring Kubernetes: kluster på EKS, AKS, GKE och on premises, Helm, GitOps med Argo CD eller Flux, klustersäkerhet, uppgraderingar och GPU-arbetsbelastningar, med dedikerade Kubernetes-ingenjörer eller projektleverans.
DevOps och CI/CD
Tjänster inom DevOps och CI/CD: pipelines, infrastruktur som kod med Terraform, observerbarhet, SRE och jour, DevSecOps, platform engineering och FinOps, med dedikerade DevOps- och SRE-ingenjörer eller löpande DevOps-arbete.
Cybersäkerhet och pentester
Tjänster inom cybersäkerhet och penetrationstester: pentester av webb, mobil, API, nätverk och moln, säker kodgranskning, SOC och incidenthantering, ISO 27001 och SOC 2, med dedikerade säkerhetsingenjörer eller avgränsade projekt.
IT-infrastruktur
Tjänster inom IT-infrastruktur och systemadministration: Windows- och Linux-servrar, nätverk, Microsoft 365 och Entra ID, virtualisering, backuper och telekom, med dedikerade systemadministratörer eller löpande support.
Site reliability engineering
Tjänster inom site reliability engineering: SLO:er, observerbarhet med OpenTelemetry, jour och incidenthantering, belastningstestning, katastrofåterställning och chaos engineering, med dedikerade SRE-ingenjörer eller projektleverans.
Platform engineering
Tjänster inom platform engineering: interna utvecklarplattformar, portaler i Backstage, golden paths och mallar, självbetjäningsinfrastruktur och Kubernetes-plattformar, med dedikerade plattformsingenjörer eller projektleverans.
Molnarkitektur
Tjänster inom molnarkitektur och rådgivning: utformning för AWS, Azure och Google Cloud, migreringsplaner, landing zones, Well-Architected-granskningar, motståndskraft och kostnad, med dedikerade molnarkitekter eller projektleverans.
FinOps
Tjänster inom FinOps och optimering av molnkostnader: kostnadsfördelning, rightsizing, savings plans och reservationer, Kubernetes-, data- och AI-kostnader, budgetar och avvikelselarm, med dedikerade FinOps-ingenjörer eller projektleverans.
Terraform och IaC
Tjänster inom Terraform och infrastruktur som kod: moduler i Terraform och OpenTofu, importer, pipelines för plan och apply, kontroll av konfigurationsdrift, policy som kod och Ansible, med dedikerade Terraform-ingenjörer eller projektleverans.
Linux-administration
Tjänster inom Linux-administration: servrar med Ubuntu, Debian, RHEL, Rocky Linux och AlmaLinux som sätts upp, patchas, härdas, övervakas och säkerhetskopieras, samt uppgraderingar när stödet löpt ut, med dedikerade Linux-administratörer eller löpande support.
Nätverksteknik
Tjänster inom nätverksteknik: routing och switching, brandväggar, SD-WAN och zero-trust-åtkomst, molnnätverk, Wi-Fi och automation på Cisco, Juniper och Fortinet, med dedikerade nätverksingenjörer eller projektleverans.
Molnsäkerhet
Tjänster inom molnsäkerhet: CSPM och CNAPP, IAM-granskningar, Kubernetes-säkerhet, nätverks- och dataskydd samt efterlevnad i molnet på AWS, Azure och Google Cloud, med dedikerade molnsäkerhetsingenjörer eller projektleverans.
SOC och säkerhetsövervakning
SOC as a service och säkerhetsövervakning: managed SOC, driftsättning av SIEM, anslutning av loggar, detection engineering, EDR, threat hunting och incidenthantering på retainer, med dedikerade SOC-analytiker eller löpande övervakning.
Frågor om säkerhetsefterlevnad
I vilka branscher arbetar era compliance-ingenjörer?
Mestadels SaaS- och mjukvaruföretag som förbereder sig för SOC 2 och ISO 27001 därför att deras kunder frågar efter dem; fintech, bank och försäkring, under PCI DSS och DORA; hälsovårds- och medtech-produkter som hanterar patientdata under HIPAA och GDPR; e-handels- och detaljhandelsföretag som tar emot kortbetalningar; cybersäkerhetsföretag; samt industri-, energi-, hosting- och telekomföretag som omfattas av NIS2.
Hur lång tid tar det att bli redo för en revision av ISO 27001 eller SOC 2?
Det beror på omfattningen och på hur mycket som redan finns på plats, så en gap-analys kommer först och slutar med en daterad plan. En SOC 2 Type II-rapport kräver dessutom en observationsperiod, vanligen tre till tolv månader, under vilken kontrollerna körs och lämnar underlag, och den perioden kan börja så snart kontrollerna är i drift.
Gäller NIS2, DORA och Cyber Resilience Act för oss?
Det beror på er sektor, er storlek och vad ni säljer i EU. NIS2 omfattar medelstora och stora aktörer i kritiska sektorer genom varje lands egen lag; DORA har gällt för finansiella företag i EU sedan den 17 januari 2025 och når deras IKT-leverantörer genom avtal; och Cyber Resilience Act kräver att tillverkare av produkter med digitala element aktivt rapporterar utnyttjade sårbarheter från och med den 11 september 2026, med huvudsakliga skyldigheter från och med den 11 december 2027. Vi kartlägger vilka som gäller er och bygger de kontroller som var och en kräver.
Hur snabbt kan compliance-ingenjörer börja?
När rätt compliance-ingenjör finns tillgänglig styrs starten bara av er intervju samt NDA och IP-överlåtelse. Annars gör vi en sökning, som vanligtvis ger kandidatprofiler inom två till tre veckor, och ingen börjar förrän ni har sagt ja.
Hur anlitar vi compliance-ingenjörer via BigTree108?
Berätta om arbetet, senioriteten och de timmar ni behöver. Vi föreslår en eller två personer med deras profiler, ni intervjuar dem på samma sätt som ni skulle intervjua en egen anställning, och ni skriver under ett avtal med BIG TREE 108 LLC och får en faktura i månaden.
Vem äger arbetet de producerar?
Det gör ni. Varje specialist har ett undertecknat avtal med BigTree108 som överlåter allt arbetsresultat till bolaget, och vårt avtal med er överlåter det vidare. Kod, designer och dokument levereras in i era egna repositories och verktyg, inte på ett ställe där bara vi kan ändra dem.
Förbereder ni er inför en revision?
Berätta vilken standard, vilken omfattning och vilket revisionsdatum eller kundtidsfrist ni arbetar mot. Ni får svar inom en arbetsdag: en omfattning för en gap-analys, en beredskapsplan eller kandidatprofiler.