Hai il fatturato in mano e ti manca solo un pezzo di carta. Ti portiamo pronto nel minor tempo possibile: sicurezza reale, che passa davanti al CISO del tuo cliente. Niente di facciata.
È arrivato il security questionnaire del cliente. Oppure una clausola nel contratto: "il fornitore dovrà essere SOC 2 / ISO 27001 entro la firma". Il tuo team commerciale è pronto, il prodotto piace, il prezzo è concordato, e tutto si è fermato su una riga. Intanto il trimestre scorre, il cliente ha altri tre vendor in lista, e tu non sai dire "ci vogliono X settimane" con sicurezza.
Non sono la stessa cosa, e prendere quella sbagliata costa mesi. In sintesi:
SOC 2 è un'attestazione (standard AICPA), il requisito tipico dei clienti enterprise USA. Esiste Type I (i controlli sono ben progettati a una certa data) e Type II (i controlli hanno funzionato davvero per un periodo di osservazione, di solito 3-12 mesi). Il report lo firma una CPA indipendente, non noi.
ISO/IEC 27001 è una certificazione (standard internazionale), il requisito tipico dei clienti UE. Il certificato lo rilascia un ente accreditato dopo un audit (Stage 1 + Stage 2). Vale un ciclo di 3 anni con sorveglianza annuale.
Quando ci scrivi guardiamo insieme il questionario o il contratto del tuo cliente e ti diciamo quale ti serve davvero, e se per caso te ne servono entrambe.
Lo standard, e chi te lo fa.
Accompagnamento all'attestazione SOC 2 per i clienti enterprise USA.
Vai al servizioAccompagnamento alla certificazione ISO 27001 per i clienti UE.
Vai al servizioAttestazione AICPA, Type I e Type II, periodo di osservazione: la pillar informativa.
Capisci lo standardCertificazione internazionale, Annex A, ciclo a 3 anni: la pillar informativa.
Capisci lo standardUn solo metodo, applicato al tuo caso: analisi iniziale → readiness → implementazione → audit → attestazione/certificazione → mantenimento. L'AI accelera la parte ripetitiva (documentazione, raccolta evidenze, prima mappatura dei controlli); le persone fanno l'analisi, il pentest e validano tutto. Così andiamo più veloci senza tagliare sulla qualità.
Un percorso chiaro, così sai sempre dove sei.
Leggiamo il requisito del tuo cliente, valutiamo la tua readiness, ti diamo la tua timeline reale e ti diciamo quale standard ti serve.
Scope, deliverable, tempi e prezzo chiari. Niente sorprese.
Si parte: readiness → implementazione → audit → attestazione/certificazione.
ISO 27001 : preparazione tipica 3-6 mesi
Dipende dalla readiness, poi l'audit dell'ente (Stage 1 + Stage 2) e il ciclo di 3 anni con sorveglianza annuale.
SOC 2 Type I : dopo la readiness, a una data
Design dei controlli a un punto nel tempo: il primo segnale spendibile col cliente.
SOC 2 Type II : readiness + osservazione 3-12 mesi
Il periodo di osservazione non si comprime; spesso si presenta al cliente un percorso credibile (Type I prima, Type II a seguire).
Non diamo numeri a caso: ne parliamo insieme e ti diamo la tua timeline reale, non una media.
Dipende dal cliente: enterprise USA chiedono quasi sempre SOC 2; clienti UE chiedono tipicamente ISO 27001. Alcuni chiedono entrambe. Quando ci scrivi leggiamo il loro questionario o contratto e te lo diciamo con certezza.
Dipende dalla readiness. ISO 27001: preparazione tipica 3-6 mesi + audit dell'ente. SOC 2 Type I: dopo la readiness, point-in-time. SOC 2 Type II richiede un periodo di osservazione (3-12 mesi) prima del report: questo non si comprime, ma spesso si può presentare al cliente un percorso credibile (es. Type I in tempi più brevi, Type II a seguire). Te lo quantifichiamo nel tuo caso.
Improbabile, perché non vendiamo carta: passi per controlli reali, pentest reale e un ente o CPA indipendente che valuta e firma. È proprio quell'indipendenza a rendere il risultato a prova di procurement.
Puoi: ti danno un ottimo software. Ma il lavoro, policy, controlli, evidenze, pentest, audit, lo fai tu. Noi lo facciamo con te, pentest incluso, e ti accompagniamo fino all'ente o alla CPA. Spesso usiamo software simili come strumento; il valore è chi lo guida.
No, e diffida di chi lo promette: l'esito dipende da un ente o una CPA indipendente, ed è proprio questo a renderla valida. Quello che garantiamo è di portarti pronto davvero e di dirti subito, fin dal primo confronto, se e quanto manca.
Il metodo trasparente che dissipa il "di facciata", e ci distingue dalle piattaforme.
Vai al metodoDopo l'audit: mantenimento, sorveglianza annuale e refresh del report.
Scopri il retainerRaccontaci la tua situazione: ti diciamo subito, onestamente, quale standard ti serve e quanto ci vuole, nel tuo caso, non in media.