Bastion 创业公司计划为您提供什么
Bastion 的创业公司计划为您提供高达 5,000 美元的 Bastion 抵扣额，Bastion 是一个原生于 AI 的安全和合规平台，它在一个系统中支持创业公司完成 SOC 2、ISO 27001、GDPR、HIPAA 以及更新的 AI 治理框架。
AI Perks 跟踪了这一情况，并记录了 194 家公司共计 770 万美元的积分。
与六位数的云赠金相比，五千美元显得微不足道，但在这里却具有不成比例的价值，因为合规是唯一直接阻碍收入的账单。云积分可以降低基础设施的成本。合规积分则能让合同得以签署。目前的条款以及福利的具体形式，都列在 getaiperks.com 上。
合规平台到底有什么用
您购买的不是一张证书。您购买的是生产证书的证据机器，并且在您向提出要求的公司销售产品的整个过程中，每年都会继续生产它。
SOC 2 报告是审计师对您在一段时间内持续按照承诺行事的意见。工作不是编写政策。工作是通过时间戳来证明，在整个期间内，每一台笔记本电脑都经过了加密，每一次访问请求都得到了批准，每一次生产变更都经过了审查，并且每一个供应商都经过了评估。
手工完成这项工作，意味着一个人需要花数周时间截图仪表板。而合规平台则连接到您的云账户、身份提供商、代码托管、HR 系统和设备群组，并持续收集证据。
Bastion 声称的差异化优势在于，它捆绑了大多数团队单独购买的层级：GRC 自动化、其下的安全工具（如设备管理、漏洞扫描和网络钓鱼模拟），以及一名指定安全工程师，而不是一个支持队列。对于一个没有聘请安全人员的小型团队来说，这种捆绑就是全部的价值主张，因为替代方案是购买四种产品，仍然不知道哪个控制措施失效了。
有一个框架对 AI 公司尤为重要。ISO 42001 是 AI 管理体系标准，企业采购团队已经开始像十年前要求每个人提供 SOC 2 一样，要求 AI 供应商提供它。如果您将 AI 产品销售给受监管的买家，这个问题迟早会到来。
合规成本如何随规模变化
合规不是一张发票。它是四张，而积分只能抵扣第一张。
这是该领域中最昂贵的误解。创始人购买了合规平台，就认为他们购买了认证。他们没有，因为按照设计，审计师必须独立于平台，并单独收费。
| 项目 | 谁向您收费 | 早期阶段的典型范围 | 什么会使其跳升 |
|---|---|---|---|
| 合规平台 | Bastion 或竞争对手 | 每年低五位数 | 增加的每个框架，每个员工席位 |
| 独立审计 | 会计师事务所，绝非平台 | 低至中等五位数 | 范围的广度、观察窗口的长度、审计师的品牌 |
| 渗透测试 | 独立的安保公司 | 中四位数至低五位数 | 范围内的应用程序和环境数量 |
| 修复工程 | 您自己的工资单 | 经常是最大的实际成本 | 在存在控制措施之前，您构建了多少 |
这些范围是针对小型创业公司广泛报道的市场数字，而非报价。它们因审计师而异，变化巨大，Bastion 根本不发布标价，而是根据公司规模和框架数量进行报价。请核实您预算中的任何内容。
有三个结构性行为值得提前规划，即使价格不稳定，它们也保持稳定。
计量器是人数，而不是收入。 平台席位、设备管理、安全培训和终端工具都是按员工收费的。一家拥有 0 收入的 12 人公司支付的费用大致与一家拥有 200 万美元收入的 12 人公司支付的费用相同。合规成本会跟随您的招聘计划。
第二个框架比第一个便宜得多。 SOC 2 和 ISO 27001 在底层控制方面有很大重叠，因此一旦证据管道建立起来，添加一个框架就主要是映射工作。知道自己需要两者的团队通常最好从一开始就将其纳入范围，而不是在十二个月后支付重建程序的费用。
它将永远续订。 SOC 2 Type II 是一个年度周期。积分可以抵消部分早期支出，而随后的续订将以标价收取，没有任何折扣或意外，如果您对此进行了规划。 AI Perks 列出了安全类别中可用的内容；您模型中的续订行需要您自己负责。
Bastion 积分可以与哪些叠加
合规是第三方 SaaS 发票，因此云积分无法触及它，模型积分也是如此。这使得 Bastion 积分是叠加而非重叠的。
创始人通常认为一大笔 AWS 或 Google Cloud 赠金可以覆盖他们的安全支出。事实并非如此。合规平台独立收费，除非您拥有承诺支出的市场协议，而种子阶段的公司通常没有。
早期软件公司经常性账单的清晰划分：
- 云积分 涵盖您的代码运行的地方
- 模型和 API 积分 涵盖您的代码调用的推理
- 身份积分 涵盖谁有权使用它
- 合规积分 涵盖证明以上所有内容都是安全的
安全类别内部还有一个更清晰的配对。要求 SOC 2 的企业交易几乎总是与要求 SAML 单点登录、SCIM 预配和审计日志导出的交易相同。因此，合规积分和身份积分会在同一个季度、由同一个交易而需要，拥有两者可以将一场双线制的仓促变成一个采购复选框。AI Perks 之所以作为一个跟踪列表而不是书签文件夹存在，就是为了让您了解哪些赠金是兼容的。
创始人对合规积分的误解
昂贵的错误不是过度花费积分。而是过早开始计时，在还没有需要它的交易之前，然后支付无法货币化的续订费用。
五种失败模式，大致按成本顺序排列：
投机性购买合规。 没有企业销售管道的 SOC 2 是五位数的支出，以及数月创始人关注的假设。诚实的触发点是，一个明确的潜在客户的安全问卷正在阻止签名。在此之前，一个安全页面和一个填写的问卷会取得更大的进展。
假设平台为您认证。 它不会。它为您做好准备，收集证据，并经常将您介绍给审计师，但意见来自独立的会计师事务所，另行收费。为平台和审计都制定预算，否则您的认证就会停在 90% 完成。
在第一次审计中范围过大。 您纳入范围的每个系统、环境和子处理器，都是您永远需要提供证据的东西，而不仅仅是一次。缩小首次范围，稍后扩展，在金钱和工程时间上都更便宜。
将 Type I 视为终点线。 Type I 是一个时间点的快照。它是一个合法的桥梁，可以解决一些交易问题，同时运行 Type II 观察窗口，但精明的买家会要求 Type II 的日期，所以要规划日历，而不仅仅是预算。
认证后飘移。 停止强制执行的控制措施会在下一次审计中显示为异常。持续监控是产品中能够通过续订证明其价值的部分，也是在积分结束时团队会关闭的部分。安全类别中其他可以缓和过渡的积分可以在 getaiperks.com 上找到。
如何获取 Bastion 和其他安全积分
第一步：从 getaiperks.com 开始，然后筛选到安全类别。Bastion 与其他合规自动化、身份、秘密管理和应用程序安全计划一起列在那里，并列出了每个计划当前的条款和金额。
第二步：决定您实际需要哪些框架。 仅 SOC 2，SOC 2 加 ISO 27001（适用于欧洲和企业买家），或者在销售模型产品给受监管的行业时，再加上一个 AI 治理标准。范围决定了上表中所有数字。
第三步：让销售管道决定日历。 合规时钟在观察窗口开始时启动，因此请将该窗口与需要报告的交易对齐，而不是与您购买的季度对齐。
第四步：在承诺之前，模拟非补贴的账单。 写下您预期人数下的年度数字，并决定在积分用完后您是否能够承担。
常见问题解答
Bastion 创业公司计划的价值是多少？
高达 5,000 美元的 Bastion 抵扣额，Bastion 是一个 AI 原生安全与合规平台，涵盖 SOC 2、ISO 27001、GDPR、HIPAA、PCI DSS 和 ISO 42001 等框架。对于早期团队来说，它通常能覆盖第一年平台成本的重要部分。当前的资格和条款可在 getaiperks.com 上查询。
合规平台真的能让您获得 SOC 2 认证吗？
不行，这是该领域最常见的误解。平台自动化证据收集和准备工作，但报告本身来自独立的会计师事务所，需要单独收费。请为平台和审计都制定预算，否则认证将停在最后一步。
SOC 2 对初创公司总共要花费多少？
对于小型初创公司来说，广泛报道的第一年总成本约为 25,000 美元至 60,000 美元以上，包括平台、独立审计、渗透测试和内部修复时间。人数比收入更能驱动成本。AI Perks 在抵扣平台层面上很有用。
初创公司何时应开始 SOC 2？
当一个明确的潜在客户的安全审查正在阻止合同，而不是在此之前。投机性地开始是在一个假设的基础上花费数月的时间和五位数的金额。例外情况是销售到医疗保健、金融或政府领域，届时要求从第一天起就知道，而且早期开始 simplesmente 更便宜。
AWS 或 Google Cloud 积分是否涵盖合规工具？
不。合规平台按第三方 SaaS 收费，因此云赠金无法触及该发票。这正是它们能够清晰叠加而不是重叠的原因。通常情况下，来自不同供应商的几个中等额度积分比一个大额度积分更有价值，AI Perks 跟踪了来自 194 家公司的 770 万美元积分。
AI 初创公司是否需要 ISO 42001 以及 SOC 2？
越来越多地是，如果您将 AI 产品销售给大型或受监管的买家。ISO 42001 是 AI 管理体系标准，企业采购正开始像要求 SOC 2 一样要求它。将其添加到现有程序中，成本远低于单独启动一个新程序。请参阅 getaiperks.com 上可用的内容。
通过安全审查。让别人来支付第一年的费用。