Послуги з відповідності вимогам безпеки та підготовки до аудиту
Відповідність вимогам безпеки та підготовка до аудиту за ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 і DORA: gap-аналіз, технічні контролі, які перевіряють аудитори, політики та реєстри ризиків, а також докази того, що кожен контроль діє, з виділеними інженерами з відповідності вимогам у вашу команду або з проєктом підготовки аж до вашого аудиту.
Роботи з відповідності, які ми беремо на себе
Впровадження ISO 27001
Сфера дії, оцінка ризиків і Заява про застосовність (Statement of Applicability) для вашої системи управління інформаційною безпекою (ISMS); контролі з Додатка A, вбудовані у ваші системи та процеси; політики, яких люди справді дотримуються; внутрішній аудит і огляд з боку керівництва, завершені до аудитів етапу 1 та етапу 2 від органу сертифікації.
Підготовка до SOC 2
Trust Services Criteria, що входять до обсягу, обираються разом із вами; прогалини знаходяться й закриваються; контролі працюють ще до звіту Type I; докази збираються протягом періоду спостереження, який охоплює звіт Type II, і готові до тестування аудиторською фірмою CPA.
Технічні заходи для GDPR
Карта персональних даних по базах, логах і підрядниках; запити на доступ і видалення, які обробляє сам продукт, а не вручну; строки зберігання, що забезпечуються видаленням за розкладом; шифрування та псевдонімізація там, де цього вимагає ризик; реєстри обробки й DPIA, які підтримуються в актуальному стані.
Підтримка під час аудиторської перевірки
Закріплений інженер у списку запитів аудитора на час перевірки: вивантаження даних для формування вибірки, демонстрація того, як працює кожен контроль, і відповідь на кожен виняток планом усунення з датами до остаточного оформлення звіту.
Відповідність PCI DSS
Обсяг даних власників карток, зменшений за допомогою токенізації та платіжних полів на стороні провайдера (hosted payment fields); контролі за PCI DSS v4.0.1, зокрема інвентаризація та контроль цілісності скриптів на сторінках оплати, щоквартальні ASV-сканування і щорічний тест на проникнення; усе готове до опитувальника для самооцінки або до Report on Compliance від QSA.
Заходи захисту за HIPAA
Адміністративні, фізичні й технічні заходи захисту з HIPAA Security Rule, вбудовані в продукт: задокументований аналіз ризиків, унікальні ідентифікатори користувачів, журнали аудиту кожного доступу до захищеної медичної інформації, шифрування та угоди з бізнес-партнерами (business associate agreements) з кожним хмарним і SaaS-провайдером, який має справу з цими даними.
Підготовка до NIS2
Заходи з управління ризиками та звітування про інциденти, яких вимагає закон про NIS2 у вашій країні: управління, затверджене керівництвом, безпека ланцюга постачання, багатофакторна автентифікація, шифрування, безперервність бізнесу та процес звітування, що вкладається в строки національного органу.
Ризики ІКТ і стійкість за DORA
Для фінансових установ та ІКТ-провайдерів, які їх обслуговують: система управління ризиками ІКТ, класифікація та звітування про значні інциденти, пов'язані з ІКТ, реєстр інформації про сторонніх постачальників ІКТ, договірні положення, яких вимагає DORA, та тестування стійкості, заплановане й підтверджене доказами.
Опитувальники з безпеки та trust-центри
Клієнтські опитувальники з безпеки, як-от SIG і CAIQ, на які відповідають з однієї актуальної бібліотеки затверджених відповідей; trust-центр, що надає ваші звіти за NDA; і контролі за кожною відповіддю, які залишаються дійсними, поки змінюється продукт.
Наші інженери з відповідності вимогам для вашої команди
Виділені інженери з відповідності вимогам
Інженери з відповідності вимогам, які приєднуються до вашої команди на повний робочий день, працюють у ваших інструментах і за вашим процесом і звітують вашому керівнику. Співбесіду проводите ви, а український договір, зарплата, рахунки й відпустки на нас.
Забезпечення відповідності вимогам як окремий проєкт
Окремий проєкт (напрям: забезпечення відповідності вимогам) з визначеним обсягом, фіксованим планом і призначеним керівником з нашого боку, який відповідає за результат і звітує про хід роботи у ваших каналах.
Постійна співпраця: забезпечення відповідності вимогам
Забезпечення відповідності вимогам як постійна послуга: ті самі люди щомісяця, беклог, пріоритети в якому визначаєте ви, і години, які видно в нашому порталі та в рахунку.
На сторінці виділеної команди пояснено, як фахівці приєднуються до вашої команди, а на сторінці аутсорсингу описано реалізацію проєктів, прийняття систем від інших команд і те, як ми беремо оплату.
Хто працює над вашим проєктом (напрям: забезпечення відповідності вимогам)
Інженери з відповідності вимогам
Контролі, докази та запити аудиторів
Менеджери з інформаційної безпеки
ISMS, політики, реєстри ризиків і огляди з боку керівництва
Інженери з хмари та DevOps
Технічні контролі, реалізовані через інфраструктуру як код
Інженери з конфіденційності
Карта даних за GDPR, строки зберігання та запити суб'єктів даних
Пентестери
Тести, яких вимагають аудитори та стандарти
Як ми готуємо вас до аудиту
Сертифікати видають акредитовані органи сертифікації, звіти SOC 2 готують незалежні аудиторські фірми CPA, а Report on Compliance за PCI DSS складають QSA; наша частина полягає в контролях і доказах, які вони перевіряють. Робота починається з gap-аналізу відносно стандарту й потрібного вам обсягу, потім іде план, упорядкований за тим, що аудитор перевіряє першим, причому кожен контроль вбудовується у ваші системи, а не лише прописується в політиці.
Контролі реалізуються як код усюди, де це можливо: правила доступу, шифрування, журналювання, резервні копії та затвердження змін живуть у Terraform і пайплайнах, тому доказом є запис, який створює сама система, а не скриншот, зроблений за тиждень до аудиту. Ту саму дисципліну ми застосовуємо до власних пристроїв: наші ноутбуки на Windows, macOS і Ubuntu перевіряє на відповідність нашим базовим вимогам безпеки агент, якого ми написали на Rust, а перевірки зіставлено зі стандартами ISO 27001, CIS, Cyber Essentials, Essential Eight і SOC 2.
Інші послуги з хмари, DevOps і безпеки
Розробка на AWS
Розробка на AWS: контейнери EKS і ECS, serverless, landing zone, міграції, бази даних, платформи даних, генеративний AI на Bedrock, безпека й оптимізація витрат. Надаємо виділених інженерів AWS або виконуємо проєкт.
Розробка на Google Cloud
Розробка на Google Cloud: Cloud Run і GKE, BigQuery, бекенди на Firebase, Cloud SQL і AlloyDB, Gemini на Agent Platform, безпека та міграції. Надаємо виділених інженерів Google Cloud або виконуємо проєкт.
Консалтинг з Kubernetes
Консалтинг і розробка з Kubernetes: кластери в EKS, AKS, GKE та on-premises, Helm, GitOps з Argo CD або Flux, безпека кластерів, оновлення й GPU-навантаження. Надаємо виділених інженерів Kubernetes або виконуємо проєкт.
DevOps і CI/CD
Послуги з DevOps і CI/CD: пайплайни, інфраструктура як код на Terraform, спостережуваність, SRE та чергування on-call, DevSecOps, platform engineering і FinOps. Надаємо виділених інженерів DevOps і SRE або ведемо DevOps на постійній основі.
Кібербезпека і пентест
Послуги з кібербезпеки та тестування на проникнення: пентести вебзастосунків, мобільних застосунків, API, мереж і хмари, код-рев'ю з погляду безпеки, SOC і реагування на інциденти, ISO 27001 та SOC 2. Надаємо виділених інженерів із безпеки або виконуємо проєкти з визначеним обсягом робіт.
IT-інфраструктура
Послуги з IT-інфраструктури та системного адміністрування: сервери Windows і Linux, мережі, Microsoft 365 та Entra ID, віртуалізація, резервне копіювання й телеком. Надаємо виділених системних адміністраторів або постійну підтримку.
Site reliability engineering (SRE)
Послуги з інженерії надійності (site reliability engineering): SLO, спостережуваність на OpenTelemetry, чергування on-call і керування інцидентами, навантажувальне тестування, аварійне відновлення та chaos engineering. Надаємо виділених SRE-інженерів або виконуємо проєкт.
Platform engineering
Послуги з platform engineering: внутрішні платформи для розробників, портали Backstage, golden paths і шаблони, інфраструктура із самообслуговуванням та платформи на Kubernetes. Надаємо виділених інженерів із platform engineering або виконуємо проєкт.
Хмарна архітектура
Хмарна архітектура та консалтинг: проєктування рішень для AWS, Azure і Google Cloud, плани міграції, landing zone, огляди Well-Architected, відмовостійкість і витрати. Надаємо виділених хмарних архітекторів або виконуємо проєкт.
FinOps
FinOps та оптимізація витрат на хмару: розподіл витрат, підбір розмірів ресурсів (rightsizing), Savings Plans і резервування, витрати на Kubernetes, дані та AI, бюджети й сповіщення про аномалії. Надаємо виділених FinOps-інженерів або виконуємо проєкт.
Terraform та IaC
Terraform та інфраструктура як код: модулі Terraform і OpenTofu, імпорт наявних ресурсів, пайплайни plan і apply, контроль дрейфу, policy as code та Ansible. Надаємо виділених інженерів Terraform або виконуємо проєкт.
Адміністрування Linux
Адміністрування Linux: сервери Ubuntu, Debian, RHEL, Rocky Linux і AlmaLinux (налаштування, оновлення безпеки, hardening, моніторинг, резервне копіювання) та оновлення систем, що вийшли з підтримки. Надаємо виділених адміністраторів Linux або постійну підтримку.
Мережева інженерія
Послуги з мережевої інженерії: маршрутизація та комутація, фаєрволи, SD-WAN і доступ за принципом zero trust, мережі в хмарі, Wi-Fi й автоматизація на обладнанні Cisco, Juniper та Fortinet. Надаємо виділених мережевих інженерів або виконуємо проєкт.
Хмарна безпека
Послуги з безпеки хмари: CSPM і CNAPP, перевірки IAM, безпека Kubernetes, захист мережі та даних і відповідність вимогам у хмарі AWS, Azure та Google Cloud. Надаємо виділених інженерів із безпеки хмари або виконуємо проєкт.
SOC і моніторинг безпеки
SOC як послуга та моніторинг безпеки: керований SOC, розгортання SIEM, підключення логів, detection engineering, EDR, threat hunting і реагування на інциденти за ретейнером. Надаємо виділених SOC-аналітиків або моніторинг на постійній основі.
Запитання про відповідність вимогам безпеки
У яких галузях працюють ваші інженери з відповідності вимогам?
Здебільшого це SaaS-компанії та розробники ПЗ, які готуються до SOC 2 та ISO 27001, бо цього вимагають їхні клієнти; фінтех, банківська справа й страхування, що працюють під PCI DSS і DORA; медичні та медтех-продукти, які обробляють дані пацієнтів за HIPAA і GDPR; e-commerce і роздрібні компанії, що приймають оплату картками; компанії з кібербезпеки; а також промислові, енергетичні, хостингові й телеком-компанії, на які поширюється NIS2.
Скільки часу займає підготовка до аудиту ISO 27001 або SOC 2?
Це залежить від обсягу та від того, скільки вже зроблено, тому спершу проводиться gap-аналіз, який завершується планом із датами. Для звіту SOC 2 Type II потрібен ще й період спостереження, зазвичай від трьох до дванадцяти місяців, протягом якого контролі працюють і залишають докази; цей період може початися, щойно контролі запущено.
Чи поширюються на нас NIS2, DORA і Cyber Resilience Act?
Це залежить від вашого сектору, розміру та того, що ви продаєте в ЄС. NIS2 охоплює середні й великі організації в критичних секторах через власне законодавство кожної країни; DORA діє для фінансових установ ЄС із 17 січня 2025 року і поширюється на їхніх ІКТ-провайдерів через договори; а Cyber Resilience Act зобов'язує виробників продуктів із цифровими елементами повідомляти про вразливості, які активно експлуатуються, з 11 вересня 2026 року, причому основні його вимоги застосовуються з 11 грудня 2027 року. Ми визначаємо, що з цього стосується вас, і впроваджуємо контролі, яких вимагає кожен акт.
Як швидко можуть стати до роботи інженери з відповідності вимогам?
Якщо відповідний інженер з відповідності вимогам вільний, старт залежить лише від вашої співбесіди, NDA і передачі прав на інтелектуальну власність. Інакше ми проводимо пошук, який зазвичай дає профілі кандидатів за два-три тижні, і ніхто не починає роботу, доки ви не скажете «так».
Як найняти фахівців через BigTree108, якщо вам потрібні інженери з відповідності вимогам?
Розкажіть про роботу, рівень і години, які вам потрібні. Ми пропонуємо одну-двох людей з їхніми профілями, ви проводите з ними співбесіду так, як зі своїм власним кандидатом, підписуєте один договір із ТОВ «БІГ ТРІ 108» і отримуєте один рахунок на місяць.
Кому належать результати їхньої роботи?
Вам. Кожен фахівець має підписаний із BigTree108 договір, за яким усі результати роботи передаються компанії, а наш договір із вами передає їх далі. Код, дизайн-макети та документи постачаються у ваші власні репозиторії та інструменти, а не зберігаються там, де змінити їх можемо лише ми.
Готуєтеся до аудиту?
Розкажіть, який стандарт вам потрібен, який обсяг і до якої дати аудиту чи клієнтського строку ви готуєтеся. Ви отримаєте відповідь протягом одного робочого дня: обсяг робіт для gap-аналізу, план підготовки або профілі кандидатів.