„Kiek kainuoja SOC 2?“ – antras pagal dažnumą klausimas po „kas tai yra“. Sąžiningas atsakymas: vienos kainos nėra, nes SOC 2 – tai ne produktas, o auditas, kurio apimtį apibrėžiate patys. Tačiau kainos struktūra visiškai nuspėjama. Šiame straipsnyje išskaidome SOC 2 kainą į sudedamąsias dalis, pateikiame realius intervalus mažoms ir vidutinėms įmonėms ir paaiškiname, kur galima sutaupyti, o kur to daryti nereikėtų.
Iš ko susideda SOC 2 kaina
Visą biudžetą sudaro keturi blokai:
- CPA audito mokestis – tai, ką ima nepriklausomas auditorius, išduodantis ataskaitą.
- Pasiruošimas – spragų analizė, politikos, kontrolės priemonių diegimas, įrodymų rinkimas, palaikymas audito metu.
- Įrankiai ir techninės išlaidos – MFA, slaptažodžių valdymas, pažeidžiamumų skenavimas, stebėsena, įsiskverbimo testavimas, mokymai.
- Jūsų komandos laikas – dažniausiai nepakankamai įvertinama eilutė.
1. CPA audito mokestis
SOC 2 ataskaitą gali išduoti tik licencijuota CPA įmonė Jungtinėse Valstijose. Mokestis priklauso nuo ataskaitos tipo, TSC kriterijų skaičiaus, įmonės dydžio, infrastruktūros sudėtingumo ir įmonės reputacijos. Mažoms ir vidutinėms įmonėms tipiniai intervalai yra tokie:
| Ataskaitos tipas | Tipinis audito mokestis | Kas lemia kainą |
|---|---|---|
| SOC 2 Type 1 | 8 000 – 20 000 USD | Kriterijų skaičius, sistemos apimtyje, pasiruošimo kokybė |
| SOC 2 Type 2 | 15 000 – 40 000 USD | Laikotarpio trukmė, imčių dydžiai, vietų ir subrangovinių organizacijų skaičius |
„Didžiojo ketverto“ įmonės kainuoja kelis kartus brangiau, tačiau daugumai SaaS klientų pakanka ataskaitos iš bet kurios licencijuotos CPA įmonės, turinčios SOC 2 patirties. Klientai tikrina ataskaitos turinį ir auditoriaus licenciją, o ne logotipą.
Atminkite, kad Type 2 atnaujinama kasmet, todėl tai pasikartojanti, o ne vienkartinė išlaida. Pakartotiniai auditai paprastai būna 10–25 % pigesni už pirmąjį, jei apimtis nesikeičia.
2. Pasiruošimo kaina
Pasiruošimas – labiausiai kintanti biudžeto dalis, nes ji priklauso nuo to, nuo ko pradedate. Įmonei su tvarkingu prieigos valdymu, pakeitimų užduotimis ir reguliariomis atsarginėmis kopijomis reikia gerokai mažiau darbo nei komandai, kurioje „visi turi administratoriaus teises, nes taip greičiau“.
Pasiruošimo kainą lemia:
- Apimtis: vienas produktas ar visa įmonė, viena debesijos platforma ar hibridinė infrastruktūra.
- Kriterijų skaičius: tik saugumas, ar taip pat prieinamumas, konfidencialumas, privatumas.
- Dabartinė branda: esamos politikos, procesai, centralizuotas tapatybės valdymas.
- Darbuotojų skaičius: jis veikia mokymus, kandidatų patikras ir prieigos peržiūras.
- Bendradarbiavimo modelis: visiškas palaikymas „iki rakto“ ar konsultavimas, kai diegimą atlieka Jūsų komanda.
BALTUM konsultacijų komanda pasiruošimo kainą nustato po trumpo preliminaraus apimties įvertinimo. Taip nemokate už darbus, kurių Jums nereikia, ir išvengiate staigmenų projekto viduryje.
3. Įrankiai ir techninės išlaidos
Kai kurioms kontrolės priemonėms reikia įrankių, kurių įmonė gali dar neturėti. Tipinis sąrašas:
- Slaptažodžių valdymas ir MFA visose įmonės sistemose.
- Įrenginių valdymas (MDM): disko šifravimas, ekrano užraktas, galinių įrenginių apsauga.
- Pažeidžiamumų skenavimas ir pataisų valdymas.
- Centralizuotas žurnalų registravimas ir įspėjimai apie incidentus.
- Saugumo sąmoningumo mokymų platforma ir sukčiavimo (phishing) simuliacijos.
- Įsiskverbimo testavimas: formaliai neprivalomas, tačiau jo tikisi dauguma auditorių ir klientų; SVV įmonei – maždaug nuo kelių tūkstančių dolerių, priklausomai nuo apimties.
- Pasirinktinai – atitikties automatizavimo platforma (Vanta, Drata, Secureframe ir panašios). Ji palengvina įrodymų rinkimą, tačiau nepakeičia nei konsultanto, nei auditoriaus ir turi savo metinę prenumeratą.
Daugelis įmonių didžiąją šio rinkinio dalį jau turi. Tokiu atveju išlaidos tenka konfigūravimui, o ne įsigijimui.
4. Jūsų komandos laikas
Net ir su visišku išoriniu palaikymu Jūsų žmonėms teks įsitraukti: CTO ar infrastruktūros vadovui – suderinti kontrolės priemones, DevOps inžinieriams – sukonfigūruoti aplinkas, personalo skyriui – įdiegti kandidatų patikras ir darbuotojų išleidimo procedūras, vadovybei – patvirtinti politikas. Mažai įmonei tai paprastai sudaro kelias žmogaus darbo savaites, paskirstytas per kelis mėnesius. Suplanuokite tai, kad projektas nesustotų dėl to, jog pagrindiniai žmonės užimti.
Biudžeto pavyzdys tipinei SaaS įmonei
Įsivaizduokite produktą vienoje debesijos platformoje, 30–60 žmonių komandą, apimtyje – saugumas + prieinamumas, tikslas – Type 1, o po šešių mėnesių Type 2. Pirmųjų metų vaizdas atrodo maždaug taip:
- Type 1 auditas – apatinė–vidurinė 8–20 tūkst. USD intervalo dalis.
- Type 2 auditas (šeši mėnesiai) – apatinė–vidurinė 15–40 tūkst. USD intervalo dalis.
- Pasiruošimas – priklauso nuo apimties; kaina pateikiama individualiai po apimties įvertinimo.
- Įrankiai ir įsiskverbimo testas – nuo kelių tūkstančių eurų ar dolerių, priklausomai nuo esamo rinkinio.
Vėlesni metai pigesni: lieka kasmetinė Type 2, kontrolės priemonių palaikymas ir įrodymų atnaujinimas. Ar Jums reikia abiejų ataskaitų, ar galite eiti tiesiai prie Type 2, aptariama straipsnyje SOC 2 Type 1 ir Type 2.
Kaip sumažinti SOC 2 kainą nepakenkiant rezultatui
- Susiaurinkite apimtį. Įtraukite tik tas sistemas ir produktus, kurie iš tikrųjų rūpi Jūsų klientams.
- Pradėkite nuo saugumo kriterijaus. Papildomus kriterijus galima pridėti kitame cikle.
- Atlikite spragų analizę prieš rinkdamiesi auditorių. Kuo mažiau išimčių randa auditorius, tuo mažiau papildomų valandų jis išrašo.
- Derinkite sistemas. Jei Jūsų ES, JK ar Šveicarijos klientai klausia apie ISO 27001, o JAV klientai – apie SOC 2, vienas kontrolės priemonių rinkinys tinka abiem; žr. SOC 2 + ISO 27001 paketą ir palyginimą SOC 2 ir ISO 27001.
- Nepirkite nereikalingų įrankių. Pirmiausia patikrinkite, ką jau dengia Jūsų esamas rinkinys.
Kur nereikėtų taupyti
- Auditoriaus nepriklausomumas. Konsultantas, kuris ruošia įmonę, negali išduoti ataskaitos; to reikalauja standartas. BALTUM grupėje pasiruošimą atlieka konsultacijų komanda, o ataskaitą išduoda grupės JAV CPA įmonė, su atskiromis komandomis ir nepriklausomumo apsaugos priemonėmis; pasiūlymas, kuriame tie patys žmonės ir diegia, ir audituoja, turėtų sukelti įtarimą.
- Politikų kokybė. Nepritaikyti šablonai neišlaiko auditoriaus pokalbio.
- Stebėjimo laikotarpis. Trijų mėnesių Type 2 pigesnė, tačiau daugelis klientų jos nepriims.
Ką gaunate už šiuos pinigus
SOC 2 geriausia vertinti kaip investiciją į pardavimus. Vienas sudarytas stambaus verslo kontraktas dažnai atperka visus pirmuosius metus, o mažiau laiko, skiriamo saugumo klausimynams, atlaisvina komandą. Taip pat įgyjate iš tikrųjų sutvarkytus saugumo procesus, o tai mažina incidentų riziką. Pagrindus rasite straipsnyje kas yra SOC 2.
Norite pasiūlymo, pritaikyto Jūsų įmonei? Užpildykite trumpą formą, aprašydami savo produktą, infrastruktūrą, komandos dydį ir klientų reikalavimus, o mes parengsime pasiruošimo apimties įvertinimą ir orientacinius terminus. Užsisakykite kainos įvertinimą.