ISO SOC2
Kupujący korporacyjni coraz częściej proszą o ISO 27001 lub SOC 2 — zwłaszcza po zaostrzeniu egzekwowania NIS2 w całej UE. Certyfikat otwiera transakcje warte setki tysięcy euro, ale przygotowanie to miesiące tworzenia polityk, zbierania dowodów i koordynacji z audytorem. Robimy to wszystko.
Od "chcemy certyfikat" do "mamy certyfikat"
Współpraca w stałej cenie obejmująca pełny cykl przygotowania. Cena nie zmienia się, jeśli zajmie to dłużej; my ponosimy ryzyko czasu trwania.
Analiza luk
Szczegółowa ocena tego, gdzie jesteś dzisiaj w porównaniu z ramami kontroli. Uszeregowana według wagi blokującej audyt. Widzisz pełną listę pracy przed podpisaniem.
Tworzenie polityk
Pełny zestaw polityk napisany pod twój biznes: bezpieczeństwo informacji, dopuszczalne użycie, zarządzanie dostępem, reagowanie na incydenty, zarządzanie dostawcami, zarządzanie zmianą, ciągłość działania, odzyskiwanie po awarii.
Wdrażanie kontroli
Wdrożone kontrole techniczne: egzekwowanie MFA, konfiguracja logowania, zarządzanie podatnościami, szyfrowanie w spoczynku, weryfikacja kopii zapasowych, procesy oceny ryzyka dostawców. Rzeczywiste wdrożenie w twoim środowisku, z dowodami zbieranymi w trakcie.
Zbieranie dowodów
Pokój dowodów, o który prosi każdy audytor: przeglądy dostępu, dzienniki zmian, historia skanów podatności, ukończenie szkoleń, przeglądy dostawców, testy ciągłości działania. Zorganizowane według kontroli, gotowe do przekazania.
Kontakt z audytorem
Pracujemy bezpośrednio z wybranym przez ciebie audytorem. Koordynujemy harmonogram audytu, przygotowujemy twój zespół do wywiadów, odpowiadamy na prośby o dowody oraz zarządzamy naprawą ustaleń między Etapem 1 a Etapem 2 (lub SOC 2 Type I / Type II).
Coroczny nadzór
Po uzyskaniu certyfikatu praca się nie kończy. Coroczne audyty nadzorcze, zbieranie dowodów ciągłego monitorowania, cykl przeglądu polityk. Opcjonalna umowa abonamentowa utrzymuje to wszystko w działaniu.
Proces przygotowania do certyfikacji
Analiza luk i ustalanie zakresu
Oceniamy twoje obecne kontrole względem odpowiednich ram (Załącznik A ISO 27001 lub Kryteria Usług Zaufania SOC 2). Wynik: uszeregowana lista luk, harmonogram naprawczy oraz wycena w stałej cenie dla pełnej współpracy przygotowawczej.
Naprawa i budowa polityk
Tworzymy zestaw polityk, wdrażamy kontrole techniczne, prowadzimy program zarządzania podatnościami oraz zbieramy dowody równolegle. Cotygodniowe aktualizacje statusu informują cię na każdym etapie.
Audyt
Koordynujemy audyt z wybraną przez ciebie jednostką certyfikującą lub firmą CPA, zarządzamy pokojem dowodów, przygotowujemy twój zespół do wywiadów z audytorem oraz zajmujemy się ustaleniami Etapu 2 lub Type II. Pozostajemy w gotowości do zakończenia audytu.
Testy penetracyjne + ISO/SOC 2 to jedna współpraca
Kontrola A.8.8 ISO 27001 wymaga zarządzania podatnościami. SOC 2 CC7.1 wymaga tego samego. Oba wymagają dowodu regularnego testowania zewnętrznego — co oznacza, że nasza usługa testów penetracyjnych już produkuje artefakt, którego zechce twój audytor. Łączenie tych dwóch oznacza, że rytm testowania, śledzenie napraw oraz dowody audytowe działają w jednym skoordynowanym strumieniu.
Nasza umowa vCISO zwykle dopełnia współpracę: ktoś posiada program bezpieczeństwa na bieżąco, uczestniczy w audycie oraz reprezentuje twój biznes przed audytorem. Większość klientów prowadzi testy penetracyjne, przygotowanie ISO/SOC 2 oraz umowę vCISO jako jeden połączony program.
Najczęściej zadawane pytania
Ile trwa certyfikacja ISO 27001?
Od rozpoczęcia do decyzji o certyfikacji ISO 27001 zwykle zajmuje 4–9 miesięcy w zależności od twojego punktu wyjścia. Firmy bez wcześniejszych kontroli bezpieczeństwa potrzebują więcej czasu; te z istniejącymi praktykami bezpieczeństwa i dokumentacją mogą poruszać się szybciej. Nasza analiza luk (tydzień 1) daje ci dokładne oszacowanie harmonogramu przed rozpoczęciem głównej współpracy.
SOC 2 czy ISO 27001 — czego potrzebuję?
SOC 2 jest wymagany przede wszystkim przez amerykańskich kupujących korporacyjnych i staje się standardem dla firm SaaS sprzedających na rynek amerykański. ISO 27001 jest bardziej powszechny w europejskich zamówieniach korporacyjnych i coraz częściej wymagany na mocy obowiązków łańcucha dostaw NIS2. Jeśli sprzedajesz na oba rynki lub twoi kupujący są dużymi korporacjami międzynarodowymi, możesz potrzebować obu. Ustalamy zakres połączonych współprac, które spełniają oba ramy ze wspólną bazą dowodów — zwykle o 20–35% tańsze niż dwa oddzielne programy.
Ile kosztuje zgodność SOC 2 / ISO 27001?
Nasza współpraca w stałej cenie dla jednych ram (ISO 27001 lub SOC 2 Type I) zaczyna się od €25,000. SOC 2 Type II lub podwójny program ISO 27001 + SOC 2 jest wyceniany indywidualnie. Cena współpracy obejmuje analizę luk, tworzenie polityk, wdrożenie kontroli technicznych, zbieranie dowodów oraz kontakt z audytorem. Opłata audytu jednostki certyfikującej lub firmy CPA jest osobna (zwykle €5,000–€20,000 w zależności od wielkości organizacji).
Jaka jest różnica między SOC 2 Type I a Type II?
SOC 2 Type I to ocena w danym momencie: potwierdza, że twoje kontrole są poprawnie zaprojektowane na określoną datę. SOC 2 Type II obejmuje okres czasu (zwykle 6–12 miesięcy) i potwierdza, że twoje kontrole działały skutecznie przez cały ten okres. Kupujący korporacyjni i zespoły zakupowe zdecydowanie preferują Type II, ponieważ udowadnia to spójność operacyjną, a nie tylko intencję projektową. Rekomendujemy przejście od razu do Type II, chyba że masz konkretny bliski termin wymagający pomostu Type I.
Czy potrzebuję ISO 27001 do zgodności z RODO?
ISO 27001 nie jest wymagane przez RODO, ale znacząco wspiera zgodność z RODO. Artykuł 32 RODO wymaga "odpowiednich środków technicznych i organizacyjnych" do ochrony danych osobowych — a system zarządzania bezpieczeństwem informacji ISO 27001 jest najbardziej obronnym dowodem, że te środki istnieją. Wiele organów ochrony danych i regulatorów postrzega certyfikację ISO 27001 jako silny dowód zgodności z RODO w zakresie zobowiązań bezpieczeństwa. Jeśli przetwarzasz znaczące ilości danych osobowych UE, ISO 27001 jest warte realizacji już samo dla zarządzania ryzykiem regulacyjnym.
Czy możecie zająć się zarówno SOC 2, jak i ISO 27001 w jednej współpracy?
Tak, i rekomendujemy to, jeśli oba są wymagane. Ramy kontroli znacząco się pokrywają: około 70% kontroli Załącznika A ISO 27001 odpowiada Kryteriom Usług Zaufania SOC 2. Prowadzimy zunifikowany program zbierania dowodów, który spełnia oba, obniżając całkowity koszt i czas w porównaniu z prowadzeniem dwóch oddzielnych programów sekwencyjnie. Doradzimy w sprawie kolejności w oparciu o to, którą certyfikację twoi kupujący wymagają najpierw.
Poznaj konkretne usługi zgodności
Ocena gotowości SOC 2
Analiza luk, mapowanie kryteriów usług zaufania oraz wskazówki zbierania dowodów przed twoim audytem SOC 2.
Konsulting ISO 27001
Projekt systemu zarządzania bezpieczeństwem informacji, rejestr ryzyka, tworzenie polityk oraz wsparcie audytu certyfikacyjnego — stała cena za cykl.
Zgodność bez podatku firmy konsultingowej
Powiedz nam, o jaki certyfikat się starasz i jakie dowody już posiadasz — wrócimy z zakresem i stałą ceną.
Skontaktuj się z nami → Penetration Testing →