Ce que le programme Startup de Bastion vous offre
Le programme startup de Bastion vous offre jusqu'à 5 000 $ pour Bastion, une plateforme de sécurité et de conformité native en IA qui accompagne une startup à travers les cadres de gouvernance SOC 2, ISO 27001, GDPR, HIPAA et les plus récents cadres de gouvernance IA sur un système unique.
AI Perks le suit aux côtés de 7,7 millions de dollars de crédits dans 194 entreprises.
Cinq mille dollars, c'est peu par rapport à une subvention cloud à six chiffres, et c'est disproportionnellement utile ici, car la conformité est la seule facture qui bloque directement les revenus. Les crédits cloud rendent l'infrastructure moins chère. Un crédit de conformité rend un contrat signable. Les conditions actuelles et la forme exacte du bénéfice sont listées sur getaiperks.com.
À quoi sert réellement une plateforme de conformité
Vous n'achetez pas un certificat. Vous achetez la machine à preuves qui en produit un, puis qui continue de le produire chaque année tant que vous vendez à des entreprises qui le demandent.
Un rapport SOC 2 est l'opinion d'un auditeur selon lequel vous avez fait ce que vous avez dit, de manière continue, sur une période de plusieurs mois. Le travail n'est pas d'écrire des politiques. Le travail consiste à prouver, avec des horodatages, que chaque ordinateur portable a été chiffré, que chaque demande d'accès a été approuvée, que chaque changement de production a été revu et que chaque fournisseur a été évalué, sur toute cette période.
Fait à la main, cela représente une personne qui capture des captures d'écran de tableaux de bord pendant des semaines. Une plateforme de conformité se connecte à vos comptes cloud, à votre fournisseur d'identité, à votre hôte de code, à votre système RH et à votre parc d'appareils, et collecte les preuves en continu.
Le différentiateur déclaré de Bastion est qu'il regroupe les couches que la plupart des équipes achètent séparément : l'automatisation GRC, les outils de sécurité sous-jacents tels que la gestion des appareils, l'analyse des vulnérabilités et la simulation de phishing, plus un ingénieur de sécurité nommé plutôt qu'une file d'attente de support. Pour une petite équipe sans embauche de sécurité, ce regroupement est toute la proposition de valeur, car l'alternative est d'acheter quatre produits et de ne toujours pas savoir quel contrôle a échoué.
Un cadre est spécifiquement important pour les entreprises d'IA. ISO 42001 est la norme de système de management de l'IA, et les équipes d'approvisionnement des entreprises ont commencé à la demander aux fournisseurs d'IA de la même manière qu'elles ont commencé à demander SOC 2 à tout le monde il y a une décennie. Si vous vendez de l'IA à des acheteurs réglementés, cette question arrivera.
Comment évolue le coût de la conformité à grande échelle
La conformité n'est pas une facture. C'est quatre, et le crédit ne touche que la première.
C'est le malentendu le plus coûteux de la catégorie. Les fondateurs achètent une plateforme de conformité et supposent qu'ils ont acheté une certification. Ce n'est pas le cas, car l'auditeur doit être indépendant de la plateforme par conception, et facture séparément.
| Poste | Qui vous facture | Fourchette typique en phase de démarrage | Qu'est-ce qui fait sauter le prix |
|---|---|---|---|
| Plateforme de conformité | Bastion ou un concurrent | Faibles cinq chiffres par an | Chaque cadre ajouté, chaque siège d'employé |
| Audit indépendant | Un cabinet d'experts-comptables, jamais la plateforme | Faibles à moyennes cinq chiffres | Étendue de la portée, durée de la fenêtre, marque de l'auditeur |
| Test d'intrusion | Une société de sécurité distincte | Moyennes quatre à faibles cinq chiffres | Nombre d'applications et d'environnements dans le périmètre |
| Ingénierie de remédiation | Votre propre masse salariale | Souvent le coût réel le plus élevé | La quantité que vous avez construite avant l'existence des contrôles |
Ces fourchettes sont des chiffres de marché largement rapportés pour les petites startups, pas des devis. Ils évoluent et varient énormément selon l'auditeur, et Bastion ne publie pas de prix catalogue, facturant plutôt par taille d'entreprise et nombre de cadres. Vérifiez tout ce que vous budgétez.
Trois comportements structurels méritent d'être planifiés, et ils sont stables même lorsque les prix ne le sont pas.
Le compteur est l'effectif, pas les revenus. Les sièges de plateforme, la gestion des appareils, la formation à la sécurité et les outils de point de terminaison sont tous facturés par employé. Une entreprise de douze personnes avec 0 $ de revenus paie environ ce que paie une entreprise de douze personnes avec 2 millions de dollars. Le coût de la conformité suit votre plan d'embauche.
Le deuxième cadre est beaucoup moins cher que le premier. SOC 2 et ISO 27001 se chevauchent fortement dans les contrôles sous-jacents, donc une fois que le pipeline de preuves existe, l'ajout d'un cadre est principalement un travail de cartographie. Les équipes qui savent qu'elles auront besoin des deux ont généralement intérêt à définir la portée des deux dès le départ plutôt qu'à payer pour reconstruire le programme douze mois plus tard.
Il se renouvelle à jamais. SOC 2 Type II est un cycle annuel. Un crédit compense une partie des dépenses initiales, et le renouvellement après son arrivée se fait au prix catalogue sans remise et sans surprise, si vous l'avez prévu. AI Perks liste ce qui est disponible dans la catégorie Sécurité ; la ligne de renouvellement dans votre modèle est de votre ressort.
Avec quoi s'empilent les crédits Bastion
La conformité est une facture SaaS tierce, donc les crédits cloud ne la touchent pas, pas plus que les crédits de modèle. Cela rend un crédit Bastion additif plutôt qu'en chevauchement.
Les fondateurs supposent régulièrement qu'une importante subvention AWS ou Google Cloud absorbe leurs dépenses de sécurité. Ce n'est pas le cas. Les plateformes de conformité facturent indépendamment, sauf si vous avez un accord de marché à dépenses engagées, ce que les entreprises en phase d'amorçage n'ont pas.
La séparation nette des factures récurrentes d'une entreprise logicielle en phase de démarrage :
- Crédits cloud : couvrent l'endroit où votre code s'exécute
- Crédits de modèle et API : couvrent l'inférence que votre code appelle
- Crédits d'identité : couvrent qui est autorisé à l'utiliser
- Crédits de conformité : couvrent la preuve que tout ce qui précède est sécurisé
Il existe un jumelage plus net au sein de la catégorie Sécurité. Le contrat d'entreprise qui exige SOC 2 est presque toujours le même contrat qui exige le SSO SAML, le provisionnement SCIM et l'exportation des journaux d'audit. Les crédits de conformité et les crédits d'identité sont donc nécessaires au cours du même trimestre, par le même accord, et détenir les deux transforme une lutte sur deux fronts en une case à cocher d'approvisionnement. Voir quelles subventions sont compatibles est la raison pour laquelle AI Perks existe en tant que liste suivie plutôt qu'un dossier de signets.
Ce que les fondateurs comprennent mal à propos des crédits de conformité
L'erreur coûteuse n'est pas de dépenser trop le crédit. C'est de démarrer l'horloge avant qu'il n'y ait un accord qui en ait besoin, puis de payer un renouvellement que vous ne pouvez pas encore monétiser.
Cinq modèles d'échec, classés approximativement par leur coût :
Acheter la conformité de manière spéculative. SOC 2 sans pipeline d'entreprise est une dépense de cinq chiffres et des mois d'attention des fondateurs achetés sur une hypothèse. Le déclencheur honnête est un prospect nommé dont le questionnaire de sécurité bloque une signature. Avant cela, une page de sécurité et un questionnaire rempli vous mèneront plus loin.
Supposer que la plateforme vous certifie. Ce n'est pas le cas. Elle vous prépare, collecte des preuves et vous présente souvent à des auditeurs, mais l'opinion vient d'une société indépendante sur une facture distincte. Budgétez à la fois la plateforme et l'audit, ou votre certification sera bloquée à quatre-vingt-dix pour cent.
Définir une portée trop large pour le premier audit. Chaque système, environnement et sous-traitant que vous incluez dans le périmètre est une preuve que vous produisez pour toujours, pas seulement une fois. Définir un périmètre étroit d'abord, puis l'étendre plus tard, coûte moins cher en argent et en heures d'ingénierie.
Traiter le Type I comme la ligne d'arrivée. Un Type I est un instantané ponctuel. C'est un pont légitime qui débloque certaines transactions pendant que la fenêtre d'observation du Type II s'exécute, mais les acheteurs sophistiqués demanderont la date du Type II, alors planifiez le calendrier, pas seulement le budget.
Certifier puis dériver. Les contrôles qui cessent d'être appliqués apparaissent comme des exceptions lors du prochain audit. La surveillance continue est la partie du produit qui justifie son prix au renouvellement, et la partie que les équipes désactivent lorsque le crédit se termine. D'autres crédits de la catégorie Sécurité qui amortissent cette transition sont suivis sur getaiperks.com.
Comment obtenir Bastion et d'autres crédits de sécurité
Étape 1 : Commencez sur getaiperks.com et filtrez sur la catégorie Sécurité. Bastion y figure aux côtés des autres programmes d'automatisation de la conformité, d'identité, de gestion des secrets et de sécurité des applications, avec les conditions et les montants actuels pour chacun.
Étape 2 : Décidez des cadres dont vous avez réellement besoin. SOC 2 seul, SOC 2 plus ISO 27001 pour les acheteurs européens et d'entreprise, ou une norme de gouvernance IA en plus si vous vendez des modèles à des industries réglementées. La portée détermine chaque chiffre du tableau ci-dessus.
Étape 3 : Laissez le pipeline définir le calendrier. L'horloge de conformité commence lorsque votre fenêtre d'observation s'ouvre, alors alignez cette fenêtre sur les transactions qui nécessitent le rapport plutôt que sur le trimestre où vous avez acheté.
Étape 4 : Modélisez la facture non subventionnée avant de vous engager. Notez le chiffre annuel à votre effectif projeté et décidez si vous pouvez le supporter une fois le crédit épuisé.
Foire Aux Questions
Quelle est la valeur du programme startup de Bastion ?
Jusqu'à 5 000 $ pour Bastion, une plateforme de sécurité et de conformité native en IA couvrant, entre autres cadres, SOC 2, ISO 27001, GDPR, HIPAA, PCI DSS et ISO 42001. Pour une équipe en phase de démarrage, cela couvre généralement une part significative du coût de la plateforme de la première année. L'éligibilité et les conditions actuelles sont suivies sur getaiperks.com.
Une plateforme de conformité vous permet-elle réellement d'obtenir la certification SOC 2 ?
Non, et c'est le malentendu le plus courant dans la catégorie. La plateforme automatise la collecte de preuves et la préparation, mais le rapport lui-même provient d'une société indépendante d'experts-comptables qui facture séparément. Budgetez à la fois la plateforme et l'audit, ou la certification sera bloquée avant la ligne d'arrivée.
Combien coûte SOC 2 pour une startup au total ?
Les totaux de la première année largement rapportés pour les petites startups vont d'environ 25 000 $ à bien plus de 60 000 $ une fois que l'on compte la plateforme, l'audit indépendant, un test d'intrusion et le temps de remédiation interne. L'effectif est plus déterminant que les revenus. Les crédits compensent la couche de la plateforme, où AI Perks est utile.
Quand une startup devrait-elle commencer SOC 2 ?
Lorsque l'examen de sécurité d'un prospect nommé bloque un contrat, pas avant. Commencer de manière spéculative coûte des mois d'attention et cinq chiffres contre une hypothèse. L'exception concerne la vente aux secteurs de la santé, de la finance ou du gouvernement, où l'exigence est connue dès le premier jour et où commencer tôt coûte simplement moins cher.
Les crédits AWS ou Google Cloud couvrent-ils les outils de conformité ?
Non. Les plateformes de conformité facturent en tant que SaaS tiers, de sorte qu'une subvention cloud laisse cette facture inchangée. C'est précisément pourquoi elles s'empilent proprement au lieu de se chevaucher. Plusieurs crédits moyens de différents fournisseurs battent généralement un grand, ce que AI Perks suit sur 7,7 millions de dollars de crédits de 194 entreprises.
Une startup IA a-t-elle besoin d'ISO 42001 en plus de SOC 2 ?
De plus en plus, oui, si vous vendez de l'IA à des acheteurs importants ou réglementés. ISO 42001 est la norme de système de management de l'IA, et les services d'approvisionnement des entreprises commencent à la demander comme ils demandent SOC 2. L'ajouter à un programme existant coûte beaucoup moins cher que de commencer un programme séparé. Voir ce qui est disponible sur getaiperks.com.
Abonnez-vous sur getaiperks.com →
Passez l'examen de sécurité. Laissez quelqu'un d'autre payer la première année.