15Five Case Study

15Five, firma technologiczna oferująca rozwiązania do zarządzania efektywnością pracowników, potrzebowała skalowalnego podejścia do bezpieczeństwa i zgodności, by sprostać wymaganiom klientów korporacyjnych i utrzymać zgodność z ramami typu SOC 2. Współpraca miała na celu zapewnienie gotowości audytowej, usprawnienie procesów technicznych oraz zwiększenie przejrzystości wobec klientów.

Utrzymanie zgodności z SOC 2 Type II

Obsługa obejmowała kompleksowe utrzymanie programu zgodności z SOC 2 Type II. Regularnie prowadzono nadzór nad kontrolami, zbieranie dowodów audytowych i konsultacje dotyczące ryzyk. Zakres kontroli był cyklicznie przeglądany pod kątem wymagań ram SOC 2.

Dzięki temu 15Five utrzymywało stałą gotowość do audytu bez potrzeby reorganizacji przed jego rozpoczęciem. Jasne przypisanie obowiązków i oczekiwań wobec dowodów usprawniło współpracę między zespołami i ograniczyło opóźnienia.

Portal Zaufania

Zaprojektowano i uruchomiono dedykowany Portal Zaufania, który umożliwił klientom i potencjalnym partnerom dostęp do kluczowych informacji o bezpieczeństwie, zgodności i przetwarzaniu danych. Portal zawierał dokumenty dostępne na podstawie NDA, dynamiczne FAQ oraz ustrukturyzowane sekcje dotyczące architektury bezpieczeństwa i polityk prywatności.

To zmniejszyło liczbę powtarzalnych zapytań od działów zakupowych i przyspieszyło procesy sprzedażowe.

Automatyczne zarządzanie podatnościami (Snyk)

Zautomatyzowano proces zarządzania podatnościami z wykorzystaniem Snyk, obejmując komponenty open source i obrazy kontenerów. Integracja z repozytoriami kodu i pipeline'ami CI/CD została dostosowana do rzeczywistych potrzeb zespołu, eliminując fałszywe alarmy i koncentrując się na rzeczywistych zagrożeniach.

Efektem było odciążenie zespołów inżynieryjnych, szybsze reagowanie na podatności oraz lepsze dopasowanie do wymagań klientów i standardów SOC 2.

Automatyzacje bezpieczeństwa w CI/CD (GitHub Actions)

Wprowadzono automatyczne kontrole bezpieczeństwa do procesu CI/CD z wykorzystaniem GitHub Actions, obejmujące m.in. skanowanie tajnych danych, walidację polityk oraz weryfikacje zgodności przed wdrożeniami. Automatyzacje zostały zoptymalizowane pod kątem niskiego poziomu fałszywych alarmów.

Zespoły mogły identyfikować błędy wcześniej, unikać kosztownych poprawek i wdrażać zmiany z większą pewnością, że są zgodne z wymaganiami.

Zgodność kontraktowa i techniczna

Przeprowadzono analizę zgodności między zapisami kontraktowymi (m.in. terminy zgłaszania incydentów, prawa audytowe) a możliwościami technicznymi platformy. W efekcie wdrożono odpowiednie zmiany w dokumentacji, procesach oraz konfiguracji systemów.

Dzięki temu umowy handlowe były możliwe do zrealizowania operacyjnie, co zmniejszyło ryzyko prawne i poprawiło relacje z klientami korporacyjnymi.

Dlaczego to było wartościowe

Dzięki zintegrowanemu podejściu opartemu na analizie ryzyka firma uzyskała stałą gotowość do audytów, skróciła procesy sprzedaży i uprościła komunikację z klientami w zakresie zgodności. Połączenie automatyzacji, przejrzystości oraz dostosowanej strategii zgodności pozwoliło 15Five rozwijać się szybciej bez kompromisów w obszarze bezpieczeństwa. Efekty te zostały osiągnięte dzięki współpracy z Up Secure.