Ce qu'offre le programme de startups Vanta
Le programme de startups Vanta offre 2 500 $ de crédits pour Vanta, la plateforme d'automatisation de la conformité qui surveille vos systèmes en continu et rassemble les preuves dont un auditeur a besoin pour SOC 2, ISO 27001, HIPAA, GDPR et PCI DSS.
AI Perks suit cela aux côtés de 7,7 millions de dollars de crédits répartis dans 194 entreprises.
Deux mille cinq cents dollars semblent peu par rapport à une subvention cloud à six chiffres, et encore une fois, c'est la mauvaise comparaison. La conformité n'est pas un compteur d'utilisation. C'est un abonnement annuel avec un minimum, et le crédit s'applique à la seule année où vous avez le moins de revenus et le plus de pression pour produire un rapport dont vous n'avez jamais eu besoin auparavant. L'éligibilité dépend de l'étape et du financement, et les conditions actuelles sont indiquées sur getaiperks.com.
Ce que Vanta fait réellement, et ce qu'il ne fait pas
Vanta automatise la collecte de preuves. Il ne délivre pas votre certificat. Un cabinet d'audit indépendant le fait, sur une facture séparée, et aucune plateforme de conformité ne change cela.
Cette distinction est le malentendu le plus coûteux dans cette catégorie, il est donc utile d'être franc sur ce que vous achetez.
Ce que fait la plateforme : elle se connecte à vos comptes cloud, à votre fournisseur d'identité, à votre système RH, à votre hôte de code et à votre gestion d'appareils, puis vérifie l'état des contrôles en continu plutôt qu'une fois par an. Elle associe les constatations à un cadre, suit l'acceptation des politiques et la formation à la sécurité par employé, recherche les revues d'accès et produit le dossier de preuves demandé par l'auditeur. De nombreuses équipes utilisent également sa page de confiance pour publier leur posture de sécurité auprès des prospects sans envoyer de PDF par e-mail.
Ce qu'elle ne fait pas : attester de quoi que ce soit. Un rapport SOC 2 est délivré par un cabinet d'expertise comptable agréé. Un certificat ISO 27001 provient d'un organisme de certification accrédité. La plateforme réduit la préparation d'un quart d'archéologie de tableurs à quelques semaines de remédiation, ce qui est une valeur réelle, mais l'audit reste un achat séparé.
Le test honnête pour savoir si vous en avez besoin pour le moment : un prospect vous a-t-il demandé un rapport SOC 2 dans son questionnaire de sécurité ou son processus d'approvisionnement ? Si non, vous achetez un artefact que personne n'a demandé. Si oui, vous achetez du chiffre d'affaires, car l'alternative est de perdre la transaction ou de convaincre l'acheteur d'une exception.
Comment les coûts de conformité se comportent à grande échelle
La conformité ne s'adapte pas à l'utilisation. Elle s'adapte aux effectifs, au nombre de cadres en périmètre, et à l'étendue de votre pile que l'auditeur doit examiner.
Vanta ne publie pas de prix catalogue standard, alors considérez tout chiffre que vous trouvez comme un point de départ et demandez un devis. Ce qui est durable, c'est la forme de la facture, et la forme est ce que les fondateurs modélisent mal.
| Poste | Comment il est facturé | Qu'est-ce qui le fait augmenter |
|---|---|---|
| Abonnement Vanta | Contrat annuel, s'adaptant au nombre d'employés et aux cadres en périmètre | Ajout d'un deuxième ou troisième cadre, ou franchissement d'un palier tarifaire par les effectifs |
| Cabinet d'audit | Par rapport, par cadre, par un cabinet d'expertise comptable ou un organisme de certification, pas par Vanta | Type II au lieu de Type I, et une fenêtre d'observation plus large |
| Test de pénétration | Par mission, généralement annuelle | Un acheteur exigeant un test externe avant de signer |
| Vérification des antécédents et formation à la sécurité | Par employé, par an | Embauche |
| Remédiation d'ingénierie | Jamais facturé, généralement le coût réel le plus élevé | Un périmètre suffisamment large pour toucher les systèmes de production |
Trois points structurels sont plus importants que n'importe quel chiffre cité.
La plateforme est rarement le chiffre le plus important. Ajoutez l'auditeur, le test de pénétration et les éléments par employé, et le programme complet de la première année coûte souvent un multiple de la ligne logicielle. Budgétez le programme, pas l'abonnement.
Cela se reproduit pour toujours. SOC 2 Type II n'est pas un certificat que vous accrochez au mur. Il couvre une fenêtre d'observation et vos acheteurs demanderont un rapport actuel chaque année, ce qui en fait une dépense opérationnelle permanente dès le moment où votre premier client d'entreprise signe. Le crédit couvre le début. La récurrence est à vous.
Chaque cadre que vous ajoutez multiplie deux factures à la fois. Définir le périmètre ISO 27001, HIPAA et PCI DSS aux côtés de SOC 2 parce qu'ils sont tous listés dans le produit semble complet et double ou triple environ les deux, l'abonnement et l'audit. La plupart des acheteurs demandent exactement un. AI Perks liste les conditions de crédit ; la discipline de périmètre est de votre ressort.
Avec quoi les crédits Vanta se combinent
La conformité est une facture SaaS tierce, donc les crédits cloud n'y touchent pas, pas plus que les crédits de modèles. Un crédit Vanta est additif plutôt qu'enchevêtré.
Les fondateurs supposent régulièrement qu'une subvention importante AWS Activate ou Google Cloud absorbe leurs outils de sécurité. Ce n'est pas le cas. Vanta facture séparément, tout comme votre auditeur.
La répartition nette entre les factures récurrentes d'une entreprise de logiciels B2B naissante :
- Crédits cloud couvrent l'endroit où votre code s'exécute
- Crédits de modèles et d'API couvrent l'inférence que votre code appelle
- Crédits d'identité couvrent qui est autorisé à l'utiliser
- Crédits de conformité couvrent la preuve à un acheteur que l'un des éléments ci-dessus est sûr
La combinaison la plus nette se situe dans la catégorie Sécurité elle-même. L'accord d'entreprise qui exige un rapport SOC 2 est presque toujours le même accord qui exige le SSO SAML et l'exportation des journaux d'audit, de sorte que les crédits de conformité et les crédits d'identité sont nécessaires dans le même trimestre, pas en séquence. Détenir les deux transforme une lutte sur deux fronts en une case à cocher d'approvisionnement. Les plateformes de conformité maintiennent également généralement des réseaux de cabinets d'audit partenaires, ce qui vaut la peine de s'en informer, car un taux d'auditeur groupé peut valoir plus que le crédit logiciel. Voir quelles subventions sont compatibles est la raison pour laquelle AI Perks existe en tant que liste suivie plutôt qu'un dossier de signets.
Ce que les fondateurs comprennent mal sur l'automatisation de la conformité
Les erreurs coûteuses sont le calendrier et le périmètre, pas le prix. Commencer trop tôt gaspille une année d'abonnement, et commencer trop tard coûte la fenêtre d'observation, que l'argent ne peut pas racheter.
Cinq schémas d'échec, dans l'ordre approximatif de ce qu'ils coûtent :
Acheter avant qu'un acheteur ne demande. La conformité est une infrastructure de vente. Les équipes pré-revenus qui l'achètent pour se sentir légitimes paient une année de surveillance sur un produit sur lequel personne n'a encore effectué d'examen de sécurité.
Commencer trop tard. Un rapport de Type II couvre une fenêtre d'observation, donc si une transaction se conclut en mars et que l'acheteur souhaite un rapport de Type II actuel, vous ne pouvez pas compresser la fenêtre en payant plus. C'est la seule variable de tout le processus qui répond au délai plutôt qu'au budget.
Définir le périmètre de chaque cadre dans le produit. Demandez quel rapport votre pipeline actuel demande. C'est presque toujours un seul. Ajoutez le deuxième lorsqu'un deuxième acheteur le demande.
Laisser le tableau de bord devenir rouge. La collecte automatisée de preuves n'aide que si les contrôles défaillants sont corrigés. Un tableau de bord rempli de constatations ignorées est pire qu'aucun tableau de bord, car l'auditeur peut voir l'historique.
Le traiter comme un projet plutôt que comme un poste budgétaire. La première année est la plus difficile et le crédit l'adoucit. La deuxième année arrive au prix fort avec l'audit attaché, et à ce moment-là, la conformité est porteuse de revenus, donc l'annuler n'est pas une option. D'autres crédits de la catégorie Sécurité qui amortissent la transition sont suivis sur getaiperks.com.
Quand il vaut la peine de commencer SOC 2
Commencez lorsqu'une transaction nommée en dépend, ou lorsque votre pipeline progresse régulièrement vers des acheteurs qui en dépendront. Pas avant, et pas après la date de clôture de la transaction.
Le déclencheur pratique est le deuxième ou le troisième questionnaire de sécurité reçu de prospects au cours du même trimestre. Un seul est une exception. Trois est une tendance, et cela signifie que chaque transaction au-dessus d'une certaine taille le demandera désormais.
Le deuxième déclencheur est la catégorie. Si vous manipulez des données de santé, des données de paiement, ou si vous vous trouvez dans la chaîne d'approvisionnement d'un autre fournisseur, l'auditeur de l'acheteur vous imposera éventuellement l'exigence, que son équipe de vente la soulève ou non en premier.
Deux choses valent la peine d'être réglées avant la première facture.
Connaissez votre chiffre annuel non subventionné. Décidez du coût du programme complet au prix catalogue avec l'auditeur inclus, et définissez le périmètre en fonction de ce chiffre plutôt que de ce que le crédit couvre.
Alignez la conformité avec l'identité. Les crédits qui valent la peine d'être regroupés sont ceux que la même transaction déclenche. Les listes de sécurité sur getaiperks.com affichent les montants et la couverture actuels afin que vous puissiez voir les chevauchements avant de vous engager.
Questions fréquemment posées
Quelle est la valeur du programme de startups Vanta ?
Le programme offre 2 500 $ de crédits pour Vanta, la plateforme d'automatisation de la conformité couvrant la préparation à SOC 2, ISO 27001, HIPAA, GDPR et PCI DSS. Il compense l'abonnement, pas les frais d'audit séparés. L'éligibilité dépend de l'étape et du financement, et les conditions actuelles sont suivies sur getaiperks.com.
Vanta vous permet-il d'obtenir la certification SOC 2 ?
Non, et aucune plateforme de conformité ne le fait. Vanta prépare et surveille les contrôles et rassemble les preuves, mais un rapport SOC 2 est délivré par un cabinet d'expertise comptable indépendant et un certificat ISO 27001 par un organisme de certification accrédité. Les deux facturent séparément du logiciel, et cette deuxième facture est souvent la plus importante.
Les crédits AWS ou Google Cloud couvrent-ils Vanta ?
Non. Vanta est un fournisseur SaaS tiers et facture indépendamment, donc une subvention cloud laisse votre facture de conformité intacte. C'est précisément pourquoi les deux se combinent proprement au lieu de se chevaucher, et pourquoi détenir plusieurs crédits moyens auprès de différents fournisseurs est préférable à la recherche d'un seul gros crédit.
Quand une startup devrait-elle commencer SOC 2 ?
Lorsqu'une transaction nommée en dépend, ou lorsque plusieurs prospects au cours du même trimestre envoient des questionnaires de sécurité. Commencer plus tôt achète un artefact que personne n'a demandé. Commencer plus tard vous coûte la fenêtre d'observation de Type II, qui est la seule partie du processus que le délai corrige et pas l'argent.
Combien coûte Vanta ?
Vanta ne publie pas de prix catalogue standard, les devis sont donc annuels et s'adaptent aux effectifs et au nombre de cadres en périmètre. Le programme de startups applique 2 500 $ à cet abonnement. Budgétez séparément pour le cabinet d'audit, qui est une facture distincte et souvent la plus importante des deux.
Puis-je combiner les crédits Vanta avec d'autres crédits pour startups ?
Oui. Les crédits de calcul, de modèle, d'identité et de conformité coexistent proprement car il s'agit de quatre fournisseurs et de quatre factures distinctes. La paire identité et conformité est la plus utile, car la même transaction d'entreprise déclenche généralement les deux. AI Perks suit 7,7 millions de dollars de crédits dans 194 entreprises sur getaiperks.com.
Abonnez-vous sur getaiperks.com →
Passez l'examen de sécurité. Laissez quelqu'un d'autre payer pour la première année.