Somos una pequeña empresa (< 20 ppl), hemos desarrollado una plataforma backend bastante compleja que expone una API de servicios web y actualmente estamos produciendo una oferta basada en SaaS que es un cliente para el backend. Tanto el backend como la oferta basada en SaaS se están comercializando para prospectos empresariales.
Nos adherimos a las mejores prácticas de seguridad, pero obviamente necesitamos una verificación y un control independientes si vamos a satisfacer algunas de estas grandes perspectivas. Eventualmente, probablemente adoptaremos un marco (COBIT, ISO 27001, etc.) una vez que podamos hacer algunas contrataciones adicionales, tareas separadas, etc. pero por ahora nos gustaría mejorar nuestro SDLC y enviar nuestras aplicaciones web a pruebas de penetración de terceros .
Hemos intentado evitar a las grandes firmas de contabilidad y los grandes proveedores de tecnología (por ejemplo, IBM) con la convicción de que serán costosas y no estarán en una alineación muy buena con nuestra organización. Supongo que llamaría a estos consultores de "Nivel I" por falta de un término mejor.
Hemos intentado lo que supongo que llamaría una firma de "Nivel II" (es decir, su personal proviene de una firma de Nivel I y brinda servicios similares pero son más asequibles), pero su experiencia parece estar muy influenciada por las empresas de servicios que buscan El cumplimiento de SOX, etc., y el enfoque no parecía estar en buena alineación con nuestra necesidad de priorizar nuestros gastos de seguridad.
He intentado ponerme en contacto con otros consultores de Nivel II, pero parece que tienen sus propios problemas (es decir, el personal se va, no me responda de manera oportuna, realmente no intente ver cómo pueden hacerlo). mejor servicio a nuestras necesidades, etc.).
Soy un poco reacio a buscar un propietario único o una pequeña empresa (llame a este Nivel III, supongo) ya que queremos aprovechar un nombre un poco si podemos y asociarnos con alguien que pueda proporcionar cierta continuidad de servicio y recursos de una manera oportuna. No, "Lo siento, estoy totalmente comprometido ahora mismo, llámame en un mes".
Lo que me lleva a mi interrogante / pregunta: ¿Qué tipo de Consultor de seguridad recomendaría para una pequeña empresa que: 1) tiene una aplicación web bastante compleja; 2) comercializa sus productos y servicios hacia las perspectivas empresariales; y 3) ¿necesita priorizar sus gastos de seguridad?
También debo decir que estaba tratando de encontrar a alguien con los pies en la calle en mi cuello del bosque para que pudiéramos encontrarnos cara a cara. Me pregunto qué tan importante es el factor que crees que es para este tipo de compromiso.
TIA