Cómo Sprinto potenció a Apty y garantizó una auditoría puntual.
Apty es una plataforma de adopción digital que ayuda a las empresas a escalar y acelerar su crecimiento sin incurrir en altos costos de TI. Permite a las empresas medianas y grandes adoptar software con mayor rapidez mediante capacitación paso a paso en pantalla y cumplimiento automatizado de procesos. Apty cuenta con una base de usuarios mensuales de aproximadamente un millón, que incluye empresas líderes como Delta Airlines, Mattel, Hitachi y otras.
-
ISO 27001,
-
SOC 2
-
USA
-
40 días
Es hora de prepararse para la auditoría SOC 2 Tipo 1.
-
15 días
Es hora de lograr la conformidad con la norma ISO 27001.
¿Listo para obtener
¿empezado?
Desafío
Apty tenía dificultades para cerrar nuevos acuerdos: los grandes clientes no estaban dispuestos a colaborar a menos que cumplieran con la normativa SOC 2. Sin experiencia previa, Apty tuvo problemas para afrontar los rigores del cumplimiento de la seguridad. Descifrar manualmente los requisitos de auditoría y usar Google para entender la jerga técnica solo aumentó el caos y la incertidumbre. «Me preocupaba constantemente si estaba haciendo algo mal y el estrés iba en aumento», comenta Roshni Sanamannavar, Directora de Personas y Cultura de Apty, quien lideró el proceso de cumplimiento para la startup.
Al principio, Apty consideró la posibilidad de trabajar directamente con un socio auditor. Sin embargo, resultó ser una experiencia nefasta: las duras críticas y las conversaciones difíciles minaron la confianza del equipo. Las múltiples reuniones con el auditor y la falta de claridad generaron un estrés excesivo y agotaron los recursos de todos los departamentos.
A continuación, Apty se asoció con Vanta, una herramienta de automatización del cumplimiento normativo. «Vanta funcionaba más como una herramienta de monitorización», recuerda Roshni. «También había deficiencias en las políticas y en su vinculación con los controles», añade. A pesar de dedicar tiempo y recursos valiosos a Vanta, Apty tuvo dificultades para estar preparada para la auditoría incluso después de un año de usar la herramienta.
Ante el estancamiento del proyecto y la falta de avances significativos, Apty optó por Scrut, otra plataforma de automatización del cumplimiento normativo. A pesar de las prometedoras conversaciones iniciales, las limitadas capacidades de automatización y las políticas genéricas de la plataforma obligaron a Apty a realizar un extenso trabajo manual. «Usar Scrut era como usar una hoja de cálculo de Excel», comenta Roshni. La falta de soporte, la comunicación poco clara y una auditoría apresurada provocaron un retraso de seis meses, dificultaron el cumplimiento normativo y minaron la confianza del equipo en la herramienta.
Finalmente, Apty se asoció con Sprinto tan solo dos meses antes de la fecha límite para su auditoría SOC 2.
Desde la primera conversación, estuvimos seguros de que Sprinto podría ayudarnos a llegar a la meta.
Solución
Conscientes del ajustado plazo, Sprinto elaboró un plan de acción claro y un cronograma de implementación guiado para Apty. Dado que las políticas de su proveedor anterior eran genéricas y no se ajustaban bien a la estructura organizativa de Apty, Sprinto proporcionó nuevas plantillas de políticas específicas para la nube. Estas plantillas permitieron a Apty crear políticas mejores y más personalizadas desde cero, que se adaptaban eficazmente a sus necesidades y situaciones específicas. Sprinto también puso en contacto a Apty con auditores idóneos para garantizar que las actividades se ajustaran a los requisitos de auditoría desde el principio.
Con las políticas ya establecidas y la capacitación completada, Apty recurrió a Sprinto para mapear los activos y entidades que se encontraban dentro del alcance del cumplimiento normativo. Roshni destaca: “Con Sprinto, pudimos clasificar nuestros activos en AWS, por ejemplo, de forma sencilla. Esto nos aseguró cubrir todo lo necesario para cumplir con la normativa, sin pasar nada por alto”.
Posteriormente, las capacidades de Sprinto para la automatización de pruebas de control y la recopilación de evidencias desempeñaron un papel fundamental para que Apty pudiera prepararse a tiempo para su auditoría SOC 2 Tipo 1. Gracias a la recopilación y el análisis de datos en un panel de auditoría específico, Apty pudo agrupar y organizar los documentos de auditoría en un único lugar para una revisión rápida y sin complicaciones.
En Sprinto todo está muy bien organizado. No necesito mirar nada a menos que reciba una notificación de tarea fallida en mi bandeja de entrada.
En todo momento, la plataforma permitió a Apty supervisar los controles de seguridad en tiempo real y avanzar en todos los aspectos necesarios para lograr el cumplimiento normativo. Roshni explica cómo Sprinto facilitó la integración de todos los proveedores externos, la supervisión de los controles de cada uno de ellos y el establecimiento de políticas para garantizar un cumplimiento total en todos los ámbitos.
Resultados
Aunque Apty tuvo que empezar desde cero, logró alcanzar la certificación SOC 2 Tipo 1 en el plazo de un mes tras la implementación de Sprinto.
Gracias a las capacidades de mapeo de controles comunes de Sprinto, Apty tuvo la confianza necesaria para incorporar más programas de cumplimiento. Al identificar similitudes y reducir la redundancia en las pruebas de control y la recopilación de evidencia, Apty evitó los errores comunes que dificultan el cumplimiento de la norma ISO 27001 y completó la auditoría en tan solo 15 días.
Las comprobaciones automatizadas y los activadores de flujo de trabajo liderados por Sprinto redujeron drásticamente el esfuerzo erróneo e impulsaron a Apty hacia la preparación para la auditoría a máxima velocidad. En comparación con otras plataformas, Apty vio una diferencia marcada en la facilidad de preparación para la auditoría y la experiencia de auditoría final. Comentarios de Roshni,
En todo momento, Sprinto nos mantuvo organizados y cumpliendo con los plazos previstos.
Sprinto también ha contribuido significativamente a fomentar una cultura de priorización del cumplimiento normativo en Apty. Lo que antes era un esfuerzo individual que implicaba tareas manuales, repetitivas y que requerían muchos recursos, además de la necesidad de obtener pruebas de varios departamentos, se ha transformado en un proceso integral totalmente automatizado.
“Ahora está todo más organizado, estructurado y optimizado. Podemos asegurarles a nuestros clientes con confianza que hemos seguido los procedimientos correctos”, afirma Roshni.
