labs@atheron:~/services/compliance$ build --to-controls --support-audit

Ingénierie de conformité

Intégrée, puis auditée.

Nous intégrons les contrôles à votre produit et vous accompagnons pendant votre audit. Les rapports de certification et d’attestation sont émis par des auditeurs indépendants, et nous vous aidons à vous y préparer.

Lancer un projet L’estimer

// ce que nous bâtissons

Ce que vérifient les auditeurs.

Accès

Authentification unique, connexion multifacteur et accès par rôle, avec chaque autorisation consignée.

Journaux d’audit et chiffrement

Des journaux qui montrent qui a fait quoi. Le chiffrement en transit et au repos, avec des clés bien gérées.

Sauvegardes et reprise

Des sauvegardes dont les restaurations sont testées, et des procédures pour quand quelque chose tourne mal.

Surveillance et analyses

Journalisation, alertes, et analyses des vulnérabilités et des dépendances exécutées à chaque changement.

Une façon de travailler sécuritaire

La gestion des changements dans l’intégration continue, du code révisé, et des secrets gardés hors du code.

Fonctions de confidentialité

Consentement, demandes d’exportation ou d’effacement des personnes concernées, résidence des données, conservation et suppression, et de l’aide pour tenir votre registre des traitements.

Réponse aux incidents

Des procédures d’incident, pour que votre première heure soit un plan plutôt qu’une course.

Accessibilité

Mise en conformité WCAG 2.1 et 2.2 AA et LAPHO, avec un rapport de conformité en accessibilité (ACR ou VPAT).

Préparation à l’audit

Une analyse des écarts, un ensemble de politiques écrites, les preuves recueillies dans votre plateforme de conformité, et de l’aide pendant les travaux sur le terrain et le suivi des constats.

// notre façon de travailler

Bâti une fois, pour tous les cadres.

Les cadres partagent la plupart de leurs contrôles. Nous bâtissons chaque contrôle une seule fois et le rattachons à chaque cadre dont vous avez besoin. Un deuxième cadre ne coûte que la différence.
Nous bâtissons selon les contrôles et appuyons votre audit. Les rapports de certification et d’attestation sont émis par des auditeurs indépendants, jamais par nous.
Le RGPD, la LPRPDE et HIPAA n’ont pas de certification officielle. Nous bâtissons des systèmes conçus pour eux, et nous le disons clairement.
Quand une exigence relève d’une question juridique, nous la cernons avec vous et vos conseillers juridiques.

// cadres

Les cadres visés.

attestation: SOC 2 Type I et Type II
certification: ISO 27001, par votre organisme de certification
confidentialité: RGPD, LPRPDE et Loi 25 du Québec, CCPA
santé: Architecture prête pour HIPAA, et LPRPS pour la santé en Ontario
paiements: PCI DSS, dont la portée dépend de la conception des paiements
accessibilité: WCAG 2.1 et 2.2 AA et LAPHO
gouvernement: Cotes de sécurité comme Protégé B, portée seulement

// un premier projet typique

Préparer un premier SOC 2.

Les contrôles intégrés à votre produit, une analyse des écarts, et des politiques et des preuves organisées dans votre plateforme de conformité. Ouvrez ce projet dans l’estimateur pour voir notre prix, le coût probable de l’auditeur et l’échéancier.

Estimer ce projet

// questions

Questions sur la conformité.

Allez-vous certifier notre application?

Aucun studio ne le peut. Nous bâtissons selon les contrôles et appuyons votre audit. Le rapport vient d’un auditeur indépendant de votre choix.

Combien de temps prend SOC 2?

Un premier rapport de Type I représente habituellement deux à quatre mois de préparation et de développement, puis quelques semaines de travaux sur le terrain. Le Type II ajoute une période d’observation de trois à douze mois.

Combien coûtera l’auditeur?

L’estimation présente une fourchette indicative pour l’auditeur et toute plateforme de conformité, à part de notre prix, pour que vous puissiez voir le total probable de la première année.