vCISO для стартапов
Корпоративные покупатели просят отчёты SOC 2. Инвесторы на раунде Series A и далее просят доказательства состояния защищённости. У вас нет шести месяцев на найм CISO и построение команды безопасности. Наш ретейнер vCISO для стартапов даёт вам старшего руководителя по безопасности с первого дня — который понимает давление на всех стадиях от посевного раунда до масштабирования и знает, как строить безопасность, растущую вместе с вами.
Безопасность, поспевающая за стадией вашего роста
Корпоративные консультанты по безопасности строят фреймворки, рассчитанные на организации из 2000 человек. Стартапам не нужна СМИБ на 300 страниц с первого дня; им нужны правильные меры контроля в правильном порядке, внедрённые достаточно быстро, чтобы безопасность никогда не блокировала сделку и не задерживала привлечение инвестиций. Наш подход к vCISO для стартапов учитывает стадию: посевные компании получают основы безопасности и базовую гигиену; компании на Series A получают готовность к соответствию и материалы для инвесторов; компании на Series B и далее получают зрелую программу, готовую к аудиту.
Мы работаем внутри вашего существующего стека — Notion, Linear, Slack, AWS, GCP. Мы не настаиваем на корпоративных GRC-инструментах, пока вы не станете достаточно крупными, чтобы они вам понадобились. Анкеты по безопасности от корпоративных потенциальных клиентов? Мы их заполняем. Раздел безопасности в data room для следующего раунда? Берём на себя. Аудит SOC 2 через полгода? Мы вас к нему подготовим.
Безопасность с нуля до готовности к аудиту
Основы безопасности
Управление идентификацией и доступом, обязательная MFA, политика конечных устройств, управление секретами, базовый уровень облачной безопасности (AWS/GCP/Azure), регламенты реагирования на инциденты и документированный набор политик безопасности — меры контроля, которые аудиторы проверяют в первую очередь и которые корпоративные покупатели требуют сразу.
Подготовка к SOC 2 и ISO 27001
Анализ пробелов относительно критериев доверия SOC 2 и/или Приложения A ISO 27001. Рекомендации по сбору доказательств, поддержка внедрения мер контроля и координация работы с аудиторами — всё для того, чтобы получить чистый отчёт аудита так быстро, как ваша команда разработки сможет закрыть пробелы.
Готовность к due diligence инвесторов
Раздел безопасности в data room, заполненные анкеты по безопасности, отчёты о пентестах с доказательствами устранения находок и резюме по безопасности для руководства, которое ваш ведущий инвестор может передать своим техническим консультантам. Создано, чтобы пройти due diligence на раундах Series A, B и на стадии роста.
Обучение осведомлённости о безопасности
Вводное обучение по безопасности для новых сотрудников, симуляция фишинга и ежеквартальные общие собрания по безопасности. Записи о прохождении ведутся для SOC 2 CC1.4 и ISO 27001 A.6.3. Ваша команда вырабатывает правильные привычки без необходимости самостоятельно вести программу.
vCISO для стартапов — часто задаваемые вопросы
Когда стартапу нужен vCISO?
Стартапу обычно нужен vCISO, если применимо одно или несколько из следующего: корпоративные потенциальные клиенты присылают анкеты по безопасности; инвесторы спрашивают о состоянии защищённости или требуют SOC 2; вы обрабатываете значительные объёмы персональных данных, подпадающих под GDPR или HIPAA; вы работаете в регулируемой отрасли (финтех, healthtech, legaltech, insurtech); или вы приближаетесь к Series A и ожидаете due diligence по безопасности в data room. Стартапы непропорционально часто становятся мишенью фишинга и атак на цепочку поставок — злоумышленники знают, что у компаний на ранней стадии слабые меры контроля и ценные данные.
Сколько стоит vCISO для стартапов?
Наш ретейнер vCISO для стартапов начинается от €2,000 / month для компаний на посевной стадии и до Series A, и составляет €2,500–€3,500/месяц для компаний на Series A с активными обязательствами по SOC 2 или ISO 27001. Компании на ранней стадии получают более лёгкий ретейнер с фокусом на основах безопасности и поддержке анкет; компании на более поздней стадии получают более полную программу, включая отчётность перед советом директоров и поддержку аудита. Все ретейнеры включают дежурное руководство реагированием на инциденты.
Может ли vCISO помочь с due diligence по безопасности на Series A?
Да — это один из самых частых проектов, которые мы ведём для стартапов. Проверка due diligence по безопасности на Series A обычно охватывает: наличие и качество набора политик безопасности; доказательства контроля доступа и обязательной MFA; историю пентестов и доказательства устранения находок; состояние соответствия GDPR или защите данных; возможности реагирования на инциденты; и статус SOC 2 или ISO 27001. Мы формируем раздел безопасности вашего data room, заполняем технические анкеты, которые присылает ваш ведущий инвестор, и готовим резюме по безопасности на одну страницу для нетехнических инвесторов и членов совета директоров.
Как быстро стартап может привести безопасность в соответствие требованиям?
Основы безопасности (набор политик, контроль доступа, базовый уровень облака, политика конечных устройств) можно внедрить за 4–8 недель для типичного стартапа на 20–50 человек. Готовность к SOC 2 Type I занимает 3–5 месяцев с нуля; Type II требует дополнительного периода наблюдения 6–12 месяцев. Сертификация ISO 27001 обычно занимает 5–9 месяцев. Сроки сильно зависят от вашего текущего состояния и от того, как быстро ваша команда разработки сможет закрыть пункты по устранению. Наш анализ пробелов на первой неделе даёт вам точную оценку до того, как вы возьмёте на себя обязательства по программе соответствия.
Безопасность, которая не замедляет ваш рост
Расскажите нам о вашей стадии, следующей контрольной точке и о том, что блокирует вашу программу безопасности — мы спроектируем подходящий формат работы vCISO.
Связаться с нами → Услуги vCISO →