SOC 2 · HIPAA · PCI DSS · ISO/IEC 27001:2022 · ESG
Една програма от контроли. Няколко разговора с клиенти и регулатори.
Подготвяме организации за независима атестация и сертификация. Ние не издаваме сертификати — правим ви готови за одит, оставаме по време на проверката и поддържаме програмата след това.
Корпоративните купувачи очакват SOC 2 Type II. Международните клиенти и обществените поръчки — ISO/IEC 27001:2022. Здравеопазването носи HIPAA. Картовите данни — PCI DSS v4.0. Европейските правила за оповестяване превръщат ESG от презентация в проверими данни. Контролите се припокриват с около 70–80%, но доказателствата и езикът — не. Пет паралелни проекта изгарят същите хора пет пъти.
Граници на системата, хора и доставчици в обхват и ясно решение Type I или Type II, етап 1/2, SAQ или ROC, или готовност за ESG — преди да се пише политика.
Достъп, криптиране, журналиране, промени, риск от доставчици, инциденти и обучения — картографирани веднъж към SOC 2, ISO 27001 Annex A, HIPAA и PCI DSS.
Текущо състояние срещу нужното доказателство, отговорници и последователност, съобразена с промените — не доклад от 200 страници без действие.
Работим с избраната CPA фирма или акредитиран орган: пакети доказателства, разходки, затваряне на находки и хигиена за надзорната година.
Започнете от пазара, в който влизате. После преизползваме доказателства навсякъде, където е коректно.
Критериите за доверие на AICPA. Type I е моментна снимка на дизайна; Type II проверява ефективността за период — обикновено 3–12 месеца. За US B2B SaaS Type II остава задължителен вход. Третираме го като непрекъсната операция по доказателства, не като ежегоднa паника.
Правила за сигурност, поверителност и уведомяване при нарушение. Анализ на риска, административни / физически / технически мерки и споразумения с бизнес партньори. Подравняваме работата към това, което OCR реално проверява след инцидент.
Среда с данни за карти, MFA за достъп, целеви рискови анализи и автентикирано сканиране. Помагаме за избор SAQ или ROC, честно стесняване на обхвата и подготовка за изискванията, задължителни с 4.0.
СУСИ: контекст, риск, Декларация за приложимост, Annex A (93 контроли в четири теми), етап 1 и 2, после надзор. Сертификатите по 2013 са изтекли — 2022 е единственият жив път.
Същественост, управление и данни, които издържат проверка. За компании към ЕС структурираме работата с оглед на CSRD/ESRS: политики, процеси и доказателства — не маркетингови твърдения. Не правим greenwashing.
Бизнес модел, системи, класове данни, клиенти и кои рамки реално отключват приходи.
Каталог от контроли, картографиране, набор политики и 90-дневен план с именувани отговорници.
Прегледи на достъп, журнали, доставчици, обучения, тикети за промени — ритъмът, който Type II и ISO изискват.
Координация с одитора, отстраняване на находки и календар, за да е година две по-евтина от година едно.
Една програма от контроли. Няколко разговора с клиенти и регулатори.
