Verižna zahtevka ISO 27001
Kadar velika podjetja (npr. Fortune 500) kupijo orodje za anonimizacijo od startup, zahtevajo:
- "Imate ISO 27001?"
- "Ste skladi z GDPR?"
- "Kako se vaš proces de-identifikacije varnega?"
To je znano kot "downstream compliance" - pogoji se prenašajo navzdol
Kako se to pojavljuje
Primer 1: Podjetje x kupuje anonym.legal za DSAR obdelavo
Amerika je zahteva za podjetjem:
- "Kateremu DPC (podatkovnauranu) podlegaš?"
- "Kje je tvoj strežnik?"
- "Kako se podatki šifrirajo?"
- "Kako se podatki izbrišejo?"
- "Ali je obstoji pogodba DPA (Data Processing Agreement)?"
Primer 2: Proizvodnja podjetje x kupuje programsko opremo
Velika avtomobilska podjetja kot BMW ali Mercedes, ko kupijo orodje za podatke, zahtevajo:
- "Ali ste skladi z ISO 27001?"
- "Ali ste skladi z GDPR?"
- "Kako se de-identifikacija dogodi?"
- "Ali imate na-mesti (on-premises) variantne?"
- "Kaj je vaš proces varnostnega revidiranja?"
Ako startup ne more odgovoriti na te vprašanja, ne dobi kupca.
Kako to vpliva na startup podjetja
Izziv 1: Stroški ISO 27001
ISO 27001 sertifikacija stane:
- Letna proračun: €20,000-50,000 za revizijo
- Nadzor: €10,000 letno
- Celotni izdatki: ~€100,000 na leto
Za startup s prihodkom €1,000,000, je to 10% prostora.
Izziv 2: Pravna pogodba
Enterprise podjetja zahtevajo specifične pogoje v pogodbi:
- DPA z GDPR Členom 28 pogoji
- Možnost revizije
- Pravica do prekinjenja brez odpovednega roka
- Subrogacija pravic
Zaposlovanje pravnika za pogodbe stane €5,000-15,000.
Izziv 3: Podatkovne infrastrukture
Enterprise zahteva:
- Šifriranje na počivanju (AES-256)
- Šifriranje med prenosom (TLS 1.3)
- Varnostne kopije (RPO < 1 uro)
- Disaster Recovery (RTO < 4 ure)
- Geografska redundanca
Za startup, to pomeni Cloud infrastrukturo (AWS, Azure, GCP) s popustno, kar stane €50,000-100,000 letno.
Kako startup preživijo
Rešitev 1: Skupna sertifikacija
Nekateri startup delijo ISO 27001 sertifikacijo prek "SOC 2 Type II" (Amerikon ekvivalent).
Rešitev 2: Cloud provider ISO 27001
Če je startup na AWS/Azure/GCP, je že del njihovega ISO 27001.
Rešitev 3: Nišni fokus
Nekateri startup se fokusiraj na specifičnih industrije (npr. zdravstvo, finančni) in ste bolj specifični za njihove potrebe.