Cosa offre il programma startup di Vanta
Il programma startup di Vanta offre crediti per un valore di 2.500$ su Vanta, la piattaforma di automazione della conformità che monitora i tuoi sistemi in modo continuo e raccoglie le prove necessarie a un revisore per SOC 2, ISO 27001, HIPAA, GDPR e PCI DSS.
AI Perks lo monitora insieme a crediti per 7,7 milioni di dollari distribuiti in 194 aziende.
Duemilacinquecento dollari sembrano pochi rispetto a una sovvenzione cloud a sei cifre, e ancora una volta questo è il confronto sbagliato. La conformità non è un misuratore di utilizzo. È un abbonamento annuale con un minimo, e il credito viene applicato all'unico anno in cui hai il minor fatturato e la maggiore pressione per produrre un report di cui non hai mai avuto bisogno prima. L'idoneità dipende dalla fase e dal finanziamento, e i termini attuali sono elencati su getaiperks.com.
Cosa fa effettivamente Vanta e cosa non fa
Vanta automatizza la raccolta delle prove. Non rilascia il tuo certificato. Lo fa una società di audit indipendente, con una fattura separata, e nessuna piattaforma di conformità cambia questo fatto.
Questa distinzione è l'equivoco più costoso in questa categoria, quindi vale la pena essere chiari su ciò che si sta acquistando.
Cosa fa la piattaforma: si collega ai tuoi account cloud, provider di identità, sistema HR, host di codice e gestione dei dispositivi, quindi controlla lo stato dei controlli continuamente anziché una volta all'anno. Mappa i risultati a un framework, tiene traccia dell'accettazione delle policy e della formazione sulla sicurezza per dipendente, insegue le revisioni degli accessi e produce il pacchetto di prove che il revisore richiede. Molti team utilizzano anche la sua pagina di fiducia per pubblicare la postura di sicurezza ai potenziali clienti senza inviare un PDF via email.
Cosa non fa: attestare nulla. Un report SOC 2 viene rilasciato da uno studio CPA autorizzato. Un certificato ISO 27001 proviene da un ente di certificazione accreditato. La piattaforma riduce la preparazione da un quarto di archeologia di fogli di calcolo a poche settimane di rimedio, che è un valore reale, ma l'audit rimane un acquisto separato.
Il test onesto per sapere se ne hai bisogno adesso: ti è stato chiesto un report SOC 2 dal questionario di sicurezza di un potenziale cliente o dal processo di acquisto? Se no, stai comprando un artefatto che nessuno ha richiesto. Se sì, stai comprando entrate, perché l'alternativa è perdere l'affare o convincere l'acquirente a fare un'eccezione.
Come si comportano i costi di conformità su larga scala
La conformità non scala con l'utilizzo. Scala con il numero di dipendenti, con il numero di framework in ambito e con quanto della tua stack deve esaminare il revisore.
Vanta non pubblica prezzi di listino standard, quindi considera qualsiasi cifra che trovi come punto di partenza e richiedi un preventivo. Ciò che è duraturo è la forma della fattura, e la forma è ciò che i fondatori modellano in modo errato.
| Voce | Come viene fatturato | Cosa lo fa aumentare |
|---|---|---|
| Abbonamento Vanta | Contratto annuale, che scala con il numero di dipendenti e i framework in ambito | Aggiunta di un secondo o terzo framework, o il superamento del numero di dipendenti di una fascia di prezzo |
| Società di audit | Per report, per framework, da parte di uno studio CPA o ente di certificazione, non da Vanta | Tipo II anziché Tipo I, e una finestra di osservazione più ampia |
| Penetration test | Per incarico, solitamente annuale | Un acquirente che richiede un test esterno prima di firmare |
| Controlli dei precedenti e formazione sulla sicurezza | Per dipendente, all'anno | Assunzione |
| Rimedio ingegneristico | Mai fatturato, solitamente il costo reale maggiore | Uno scope abbastanza ampio da toccare i sistemi di produzione |
Tre punti strutturali sono più importanti di qualsiasi numero quotato.
La piattaforma è raramente il numero più grande. Aggiungi il revisore, il penetration test e gli elementi per dipendente e il programma completo del primo anno spesso ammonta a un multiplo della linea software. Prevedi il budget per il programma, non per l'abbonamento.
Si ripete per sempre. SOC 2 Tipo II non è un certificato da appendere al muro. Copre una finestra di osservazione e i tuoi acquirenti richiederanno un report aggiornato ogni anno, il che lo rende una spesa operativa permanente dal momento in cui il tuo primo cliente enterprise firma. Il credito copre l'inizio. La ricorrenza è tua.
Ogni framework che aggiungi moltiplica due fatture contemporaneamente. Includere ISO 27001, HIPAA e PCI DSS insieme a SOC 2 perché sono tutti elencati nel prodotto sembra completo e raddoppia o triplica approssimativamente sia l'abbonamento che l'audit. La maggior parte degli acquirenti ne chiede esattamente uno. AI Perks elenca i termini del credito; la disciplina di scoping spetta a te.
Cosa si combina con i crediti Vanta
La conformità è una fattura SaaS di terze parti, quindi i crediti cloud non la toccano e neanche i crediti per modelli. Un credito Vanta è aggiuntivo piuttosto che sovrapposto.
I fondatori presumono regolarmente che una grande sovvenzione AWS Activate o Google Cloud assorba i loro strumenti di sicurezza. Non è così. Vanta fattura separatamente, così come il tuo revisore.
La netta suddivisione tra le fatture ricorrenti di una startup software B2B precoce:
- Crediti cloud coprono dove viene eseguito il tuo codice
- Crediti per modelli e API coprono l'inferenza che il tuo codice chiama
- Crediti per l'identità coprono chi è autorizzato a usarlo
- Crediti per la conformità coprono la prova a un acquirente che uno qualsiasi dei precedenti è sicuro
La combinazione più efficace si trova all'interno della categoria Sicurezza stessa. L'accordo enterprise che richiede un report SOC 2 è quasi sempre lo stesso accordo che richiede il single sign-on SAML e l'esportazione dei log di audit, quindi i crediti di conformità e i crediti di identità sono necessari nello stesso trimestre, non in sequenza. Avere entrambi trasforma una corsa su due fronti in una casella di spunta di approvvigionamento. Le piattaforme di conformità mantengono anche tipicamente reti di studi di audit partner, il che vale la pena chiedere, perché una tariffa per revisore in bundle può valere più del credito software. Vedere quali sovvenzioni sono compatibili è il motivo per cui AI Perks esiste come elenco monitorato piuttosto che come cartella di segnalibri.
Cosa sbagliano i fondatori sull'automazione della conformità
Gli errori costosi sono il timing e lo scopo, non il prezzo. Iniziare troppo presto spreca un anno di abbonamento, e iniziare troppo tardi ti costa la finestra di osservazione, che il denaro non può ricomprare.
Cinque schemi di fallimento, nell'ordine approssimativo di quanto costano:
Acquistare prima che un acquirente lo chieda. La conformità è un'infrastruttura di vendita. I team pre-ricavi che la acquistano per sentirsi legittimi pagano un anno di monitoraggio su un prodotto contro cui nessuno ha ancora eseguito una revisione della sicurezza.
Iniziare troppo tardi. Un report di Tipo II copre una finestra di osservazione, quindi se un accordo si chiude a marzo e l'acquirente vuole un Tipo II attuale, non puoi comprimere la finestra pagando di più. Questa è l'unica variabile nell'intero processo che risponde al tempo di anticipo anziché al budget.
Definire tutti i framework nel prodotto. Chiedi quale report sta richiedendo la tua pipeline attuale. È quasi sempre uno. Aggiungi il secondo quando un secondo acquirente lo chiede.
Lasciare il cruscotto rosso. La raccolta automatizzata delle prove aiuta solo se i controlli che falliscono vengono risolti. Un cruscotto pieno di risultati ignorati è peggio di nessun cruscotto, perché il revisore può vedere la cronologia.
Trattarla come un progetto piuttosto che come una voce di spesa. Il primo anno è quello difficile e il credito lo attenua. Il secondo anno arriva a prezzo pieno con l'audit allegato, e a quel punto la conformità è portante per le entrate, quindi annullarla non è un'opzione. Altri crediti della categoria Sicurezza che ammortizzano la transizione sono monitorati su getaiperks.com.
Quando vale la pena iniziare con SOC 2
Inizia quando un accordo nominato è vincolato ad esso, o quando la tua pipeline si sposta costantemente verso l'alto nel mercato verso acquirenti che vi si vincoleranno. Non prima, e non dopo che l'accordo ha una data di chiusura.
Il trigger pratico è il secondo o terzo questionario di sicurezza che arriva dai potenziali clienti nello stesso trimestre. Uno è un outlier. Tre è un modello, e significa che ogni accordo sopra una certa dimensione lo chiederà ora.
Il secondo trigger è la categoria. Se gestisci dati sanitari, dati di pagamento, o ti trovi all'interno della catena di approvvigionamento di un altro fornitore, il revisore del tuo acquirente alla fine ti imporrà il requisito, indipendentemente dal fatto che il suo team di vendita lo sollevi per primo.
Due cose valgono la pena di essere definite prima della prima fattura.
Conosci il tuo numero annuale non sovvenzionato. Decidi quanto costa l'intero programma a prezzo di listino con il revisore incluso, e definisci lo scopo in base a quella cifra anziché a qualsiasi cosa copra il credito.
Allinea la conformità con l'identità. I crediti che vale la pena tenere insieme sono quelli che lo stesso accordo innesca. Gli elenchi di sicurezza su getaiperks.com riportano gli importi e la copertura attuali in modo da poter vedere le sovrapposizioni prima di impegnarsi.
Domande frequenti
Quanto vale il programma startup di Vanta?
Il programma offre crediti per un valore di 2.500$ su Vanta, la piattaforma di automazione della conformità che copre la prontezza per SOC 2, ISO 27001, HIPAA, GDPR e PCI DSS. Compensa l'abbonamento, non la fee di audit separata. L'idoneità dipende dalla fase e dal finanziamento, e i termini attuali sono monitorati su getaiperks.com.
Vanta ti fa ottenere la certificazione SOC 2?
No, e nessuna piattaforma di conformità lo fa. Vanta prepara e monitora i controlli e raccoglie le prove, ma un report SOC 2 viene rilasciato da uno studio CPA indipendente e un certificato ISO 27001 da un ente di certificazione accreditato. Entrambi fatturano separatamente dal software, e quella seconda fattura è spesso la più grande.
I crediti AWS o Google Cloud coprono Vanta?
No. Vanta è un fornitore SaaS di terze parti e fattura in modo indipendente, quindi una sovvenzione cloud lascia la tua fattura di conformità intatta. Questo è esattamente il motivo per cui i due si combinano in modo pulito invece di sovrapporsi, e perché avere diversi crediti medi su diversi fornitori è meglio che inseguirne uno grande.
Quando dovrebbe iniziare un'startup con SOC 2?
Quando un accordo nominato è vincolato ad esso, o quando diversi potenziali clienti nello stesso trimestre inviano questionari di sicurezza. Iniziare prima compra un artefatto che nessuno ha richiesto. Iniziare più tardi ti costa la finestra di osservazione di Tipo II, che è l'unica parte del processo che il tempo di anticipo risolve e il denaro no.
Quanto costa Vanta?
Vanta non pubblica prezzi di listino standard, quindi i preventivi sono annuali e scalano con il numero di dipendenti e il numero di framework in ambito. Il programma startup applica 2.500$ a questo abbonamento. Prevedi separatamente la società di audit, che è una fattura distinta e spesso la più grande delle due.
Posso combinare i crediti Vanta con altri crediti startup?
Sì. Crediti per compute, modelli, identità e conformità coesistono in modo pulito perché sono quattro fornitori e quattro fatture separate. La coppia identità e conformità è la più utile, poiché lo stesso accordo enterprise solitamente innesca entrambi. AI Perks monitora 7,7 milioni di dollari in crediti in 194 aziende su getaiperks.com.
Supera la revisione di sicurezza. Lascia che qualcun altro paghi per il primo anno.