Wie Mesmerise innerhalb von etwa 60 Tagen 12 Zertifikate von drei verschiedenen Unternehmen erhielt

12 Zertifikate Über drei Organisationen hinweg, jeweils vier Rahmenwerke

60 Tage Von der Einrichtung bis hin zu Prüfberichten und Zertifizierungen

90 %+ des Compliance-Aufwands Abgeschafft, die Überprüfungen durch die Anbieter dauern jetzt nur noch eine halbe Stunde pro Monat.

Vorher Sprinto

Nach Sprinto

Berater und Tabellenkalkulationen konnten sich nicht an das Wachstum und die Diversifizierung der Gruppe anpassen, sodass die Verfolgung mehrerer Sicherheitsstandards nicht mit der Organisation skalieren konnte.

Eine flexible Plattform, die sich mit den Veränderungen der Organisation anpasste, sodass, als sich die Gruppe in drei Einheiten aufteilte, jede von ihnen alle vier Sicherheitsstandards verfolgte und sicherstellte.

Die manuelle Durchsicht der Protokolle war eine Zeit, die das Team nicht hatte.

Mit SprintoDank der automatisierten Kontrolltests und Warnmeldungen musste das Team Systeme und Protokolle nicht mehr manuell überwachen und die Warnschwellenwerte so anpassen, dass die Aufmerksamkeit auf die richtigen Probleme gerichtet blieb.

Um herauszufinden, welche Kontrollen für SOC 2, ISO 27001, HIPAA und DSGVO gemeinsam sind und welche einzigartig sind, musste man jedes Mal auf eine Kontrollkarten-Tabelle zurückgreifen.

Da eine gemeinsame Kontrollzuordnung standardmäßig verfügbar war, vereinheitlichte das Team die Nachverfolgung und Beweissammlung über alle vier Standards hinweg, und Adéle erlangte insgesamt ein besseres Verständnis der Kontrollen.

„Die Verwaltung von Lieferanten ist viel einfacher geworden mit SprintoLieferantenmanagement ist unbeliebt, da es oft zu den mühsamsten Aufgaben in jedem Unternehmen zählt. Jetzt benötige ich dafür nur noch eine halbe Stunde im Monat. Ich kann es nebenbei erledigen, weil es mich nicht mehr überfordert.

– Adéle Tredoux
Leiterin GRC, Resonance Labs, Teil von Mesmerise

"Ohne SprintoFrüher verbrachte ich den Großteil meiner Zeit mit der Erfassung und Koordination von Beweismitteln. Jetzt habe ich mehr Zeit, strategisch vorzugehen, an Veranstaltungen teilzunehmen und mich über die Bedrohungslage auf dem Laufenden zu halten.“

– Adéle Tredoux
Leiterin GRC, Resonance Labs, Teil von Mesmerise

Einführung

Mesmerise entwickelt seit 2016 innovative Kundenerlebnisse auf Basis zukunftsweisender Technologien wie KI, AR und VR. Führende Fortune Global 500-Unternehmen arbeiten mit Mesmerise zusammen, um immersive Markenerlebnisse, Schulungen und digitale Events zu realisieren. Im Zuge des Unternehmenswachstums und der Diversifizierung rückten Sicherheit und Compliance in den Vordergrund.

„Sicherheit wird von der Spitze vorangetrieben. Unser CEO besteht darauf, der Beste in seiner Branche zu sein, und das erfordert, dass Sicherheit in die Grundlage all unserer Aktivitäten eingebettet wird“, sagt Adéle Tredoux, Leiterin GRC bei Resonance Labs, einem Teil von Mesmerise.

Das Problem

Die Einführung und Nachverfolgung mehrerer Sicherheitsstandards hatte die vorhandenen Tools überfordert. Berater und Tabellenkalkulationen waren angesichts des Unternehmenswachstums weder zuverlässig noch skalierbar, und Adéle wünschte sich ein System, das sich genauso schnell anpassen konnte wie die Organisation selbst.

Das Ziel war, alle Rahmenwerke gleichzeitig anzugehen. „Wir waren ziemlich ehrgeizig. Wir wussten, dass SOC 2 und ISO 27001 weitgehend übereinstimmten und ähnliche Nachweise erforderten. Während wir die Nachweise für eines der Rahmenwerke vorbereiteten, beschlossen wir, gleich beide parallel anzugehen“, erinnert sich Adéle. HIPAA und DSGVO kamen kurz darauf hinzu, da bereits eine Datenschutzgrundlage bestand und die vollständige Einhaltung in greifbarer Nähe war. Eine Aufteilung der Arbeit hätte nur Zeit gekostet.

Die zweite Anforderung war die Automatisierung. „Wir wollten die Prozesse durch Automatisierung beschleunigen. Wir haben nicht unbegrenzt Zeit, Protokolle manuell zu überprüfen“, bemerkt Adéle.

Nach einer sorgfältigen Bewertung anhand verschiedener Kriterien entschied sich Mesmerise für Sprinto„Es kann mehrere Standards gleichzeitig verarbeiten und Anforderungen selbstständig übergreifend abbilden. Das Dashboard zeigte übersichtlich an, welche Kontrollen erfolgreich waren und wo Handlungsbedarf bestand. Es identifiziert Probleme und zeigt die betroffenen Zertifikate an. Zudem ist es benutzerfreundlich und leicht verständlich, selbst für Teammitglieder ohne technischen Hintergrund“, so Adéle. Die Fähigkeit des Dashboards, Probleme frühzeitig zu erkennen und zu beheben, überwog die jährlichen Kosten und sparte deutlich mehr Zeit, Aufwand und Geld als die manuelle Protokollprüfung.

Die Lösung

Nachdem die Instanz eingerichtet und in ihre Cloud-Anwendungen integriert war, aktivierte das Team SOC 2, ISO 27001, HIPAA und DSGVO innerhalb des Unternehmens. Sprinto„Wir wurden sofort mit Warnmeldungen überschwemmt.“ Sprinto „Sie hat schnell Konfigurationslücken in unseren Code-Repositories und unserer Infrastruktur erkannt, und unser Infrastrukturteam hat sofort mit deren Behebung begonnen“, bemerkt Adéle.

Mit SprintoDurch die einheitliche Kontrollzuordnung konnte das Team die Nachverfolgung und Beweiserfassung über alle vier Standards hinweg vereinheitlichen. Harmonisierte Kontrollen und automatisierte Kontrolltests bedeuteten, dass das Team Systeme und Protokolle nicht mehr manuell überwachen musste.

"Sprinto Es bietet einen klaren Überblick darüber, wie alles miteinander verbunden ist, und überwacht anschließend alles für uns. Müsste ich dies manuell durchführen, müsste ich meine Kontrollstruktur-Tabelle konsultieren, um festzustellen, welche Kontrollmechanismen für ein Framework üblich oder spezifisch sind. Sprinto „Diese Zuordnung war sofort einsatzbereit. Das hat nicht nur Zeit gespart, sondern auch zu einem besseren Gesamtverständnis der Steuerung geführt“, sagt Adéle.

Im nicht-technischen Bereich lud Adéle die Richtlinien und Verfahrensanweisungen des Unternehmens hoch und führte anschließend eine Sicherheitsschulung durch. „Die Schulung mit Sprinto „Es war hervorragend. Es war benutzerfreundlich, vermied Fachjargon und enthielt praxisnahe Beispiele und Tests. Es war eine deutliche Verbesserung gegenüber den übermäßig komplexen Schulungen in meiner vorherigen Position und ersparte mir die Erstellung von Schulungsmaterialien von Grund auf“, fügt sie hinzu.

Als Nächstes kamen die Lieferanten. Adéle fasste die Lieferanten in einem einzigen Verzeichnis zusammen, indem sie SaaS-Anbieter vom Workspace-Anbieter übernahm und die Nicht-SaaS-Anbieter hinzufügte. „Die Verwaltung der Lieferanten ist dadurch deutlich einfacher geworden.“ Sprinto„Niemand mag Lieferantenmanagement, da es oft zu den mühsamsten Aufgaben in jedem Unternehmen gehört. Jetzt brauche ich dafür nur noch eine halbe Stunde im Monat. Ich kann das nebenbei erledigen, weil es mich nicht mehr so überfordert“, bemerkt sie.

HIPAA und DSGVO stellten kaum zusätzliche Anforderungen. Als Datenschutzbeauftragte hatte Adéle bereits vor Projektbeginn grundlegende Datenschutzmaßnahmen implementiert, sodass das Team seine Datenschutzrichtlinie aktualisieren und auf die bereits in der Plattform vorhandenen Kontrollinformationen zurückgreifen konnte.

Die vollständige Einrichtung dauerte vier Wochen. Während dieser Zeit beschloss die Gruppe, sich in drei Einheiten aufzuteilen, und jede Einheit strebte eine Zertifizierung in allen vier Rahmenwerken an, wodurch in weiteren vier Wochen insgesamt 12 Zertifikate erworben wurden.

Auswirkungen

Mesmerise erfüllte die Anforderungen aller vier Rahmenwerke und erhielt seine Prüfberichte und Zertifizierungen in etwa 60 Tagen in Zusammenarbeit mit einem in den USA ansässigen Prüfer. SprintoDas Netzwerk von [Name], das in der Lage ist, alle Rahmenbedingungen in einem einzigen Projekt abzudecken und für alle vier von der Plattform aus Belege zu präsentieren.

Das Vertrauen in die zugrunde liegenden Daten hat sich bei der Überprüfung als beständig erwiesen.

„Unser Infrastrukturspezialist und ich vertrauen der Datengenauigkeit von Sprinto — Es liefert keine falsch positiven oder falsch negativen Ergebnisse. Wir haben die Daten überprüft. Sprinto und bestätigte, dass die von ihr gemeldeten Probleme real sind und unsere Aufmerksamkeit erfordern. Im Wesentlichen Sprinto „Dies regt zu weiteren Untersuchungen an, was hilfreich ist. Wir haben den Alarmschwellenwert auf der Plattform angepasst, um sicherzustellen, dass wir uns jederzeit auf die richtigen Probleme konzentrieren“, sagt Adéle.

Adéle erinnert sich an maximal zwei E-Mail-Korrespondenzen mit ihrem Wirtschaftsprüfer; der übliche Weg hätte ein persönliches Treffen mit dem Prüfer und die mehrtägige Prüfung jedes einzelnen Nachweises bedeutet. Die Zertifizierungen ermöglichten große Geschäftsabschlüsse auf dem nordamerikanischen Markt, und die Beantwortung von Käuferfragebögen wurde deutlich einfacher. „Manchmal benötigen Kunden detaillierte Informationen über unsere Kontrollen, aber ihre Terminologie unterscheidet sich oft von unserer. Wir stützen uns daher auf …“ Sprinto „Um die richtigen Kontrollmechanismen zu identifizieren, ihre Zuordnung aufzuzeigen und ihre Überwachung zu erläutern, ist es wichtig, diese Transparenz zu gewährleisten“, erklärt Adéle.

Die Kontrollabbildung über verschiedene Frameworks hinweg ermöglicht es dem Konzern außerdem, seine Bereitschaft für noch nicht implementierte Standards einzuschätzen. Dies unterstützt Adéle dabei, dem Vorstand ihre Argumente darzulegen und Marktreifebewertungen zu begründen. Da der Aufwand für die Einhaltung von Vorschriften um über 90 % reduziert wurde, gestaltet sich ihr Arbeitsalltag völlig anders.