Tóm tắt
Compliance cho startup Series A: VC kiểm tra gì trong due diligence, chọn SOC 2, ISO 27001 hay HIPAA theo thị trường, và timeline thực tế cho startup Việt.
Compliance cho startup Series A thường là chọn một framework theo thị trường mục tiêu và bắt đầu trước khi gọi vốn xong: báo cáo SOC 2 cho khách hàng enterprise Mỹ, chứng nhận ISO 27001 cho châu Âu, Nhật và APAC, safeguard HIPAA nếu xử lý dữ liệu y tế Mỹ. VC kiểm tra rủi ro bảo mật có được quản lý không; khách hàng enterprise biến nó thành điều kiện ký hợp đồng.
VC kiểm tra gì về compliance trong due diligence?
Nhà đầu tư nhìn compliance như rủi ro kinh doanh: một sự cố dữ liệu sau khi đầu tư có thể làm mất khách hàng, phát sinh kiện tụng và phạt theo GDPR hay HIPAA. Họ cũng đọc tín hiệu: team có quy trình và kỷ luật vận hành không, sản phẩm đã đủ chín để bán cho enterprise chưa.
Checklist technical due diligence thường gồm:
- cấu hình bảo mật cloud, quản lý truy cập và MFA, quy trình offboarding;
- mã hóa khi lưu trữ và truyền, backup và khôi phục;
- incident response, quản lý lỗ hổng, kết quả pentest gần đây;
- policy bảo mật đã viết và phê duyệt, quản lý rủi ro vendor;
- báo cáo hoặc chứng nhận của bên thứ ba (SOC 2, ISO 27001) nếu có; lý do khách hàng đòi chứng chỉ được phân tích trong tại sao cần ISO 27001.
Startup chưa có báo cáo vẫn có thể qua nếu có tài liệu rõ ràng và evidence cho thấy kiểm soát đang vận hành. Báo cáo của bên độc lập chỉ là cách chứng minh nhanh nhất.
Khách hàng enterprise yêu cầu gì theo từng thị trường?
| Framework | Ai thường yêu cầu | Bạn nhận được gì | Ai phát hành |
|---|---|---|---|
| SOC 2 Type I hoặc Type II | Khách hàng enterprise Mỹ, nhất là với SaaS và xử lý dữ liệu | Báo cáo chứng thực (attestation) về kiểm soát | CPA firm theo chuẩn AICPA |
| ISO/IEC 27001 | Khách hàng châu Âu, Nhật, APAC, công ty ITO, đấu thầu công | Chứng nhận ISMS, hiệu lực 3 năm, có audit giám sát hằng năm | Tổ chức chứng nhận được công nhận |
| HIPAA | Bệnh viện, công ty bảo hiểm Mỹ khi bạn xử lý PHI cho họ | Không có chứng nhận; bạn chứng minh safeguard, ký BAA, đôi khi có báo cáo đánh giá độc lập | Không ai cấp; HHS OCR thực thi |
| PCI DSS | Tổ chức thẻ và ngân hàng thanh toán, nếu bạn lưu, xử lý hoặc truyền dữ liệu thẻ | Report on Compliance hoặc bảng tự đánh giá (SAQ) | QSA hoặc tự đánh giá, tùy cấp độ |
| GDPR | Khách hàng EU khi bạn xử lý dữ liệu cá nhân cho họ | Không có chứng nhận chung; bạn ký DPA và chứng minh biện pháp bảo vệ | Cơ quan bảo vệ dữ liệu EU thực thi |
Nguồn: AICPA về SOC 2, ISO/IEC 27001, HHS về HIPAA. Nếu đang phân vân giữa hai framework đầu, xem ISO 27001 hay SOC 2: chọn chứng nhận nào.
Nên bắt đầu trước hay sau Series A?
Trước, vì ba lý do:
- SOC 2 Type II không thể làm gấp. Sau readiness còn observation period, thường từ 3 đến 12 tháng; AICPA không quy định thời gian tối thiểu. Khi khách hàng yêu cầu mới bắt đầu thì deal đã phải chờ.
- Hạ tầng nhỏ dễ sửa hơn. MFA, access review, log và change management dễ đưa vào khi hệ thống còn nhỏ hơn là chắp vá sau này.
- Due diligence nhanh hơn. Có sẵn policy, evidence và báo cáo giúp trả lời câu hỏi của VC trong vài ngày thay vì vài tuần.
Thời điểm hợp lý là khi bạn đã có vài khách hàng trả tiền và bắt đầu nhắm đến enterprise, không cần đợi đến khi có deal bị chặn.
Lộ trình thực tế cho startup Việt Nam là gì?
Giai đoạn seed: nền tảng cơ bản. Chưa cần chứng nhận, nhưng cần password manager và MFA cho cả team, phân quyền theo nguyên tắc least privilege, vài policy bảo mật ngắn, cấu hình cloud cơ bản (không để bucket public, xoay vòng secret) và pentest đơn giản nếu sản phẩm đã chạy.
Trước khi gọi Series A: chuẩn bị nghiêm túc.
- Chọn framework theo thị trường mục tiêu.
- Đánh giá khoảng trống (gap assessment) so với framework đó.
- Khắc phục các khoảng trống quan trọng, chỉ định người phụ trách từng kiểm soát.
- Thuê auditor hoặc tổ chức chứng nhận; với SOC 2 Type II, bắt đầu observation period.
Sau Series A: duy trì và mở rộng. Vận hành kiểm soát liên tục, bổ sung framework khi vào thị trường mới, đưa bảo mật vào product roadmap.
Mốc thời gian tham khảo, ghi rõ nguồn:
| Framework | Mốc tham khảo | Nhãn |
|---|---|---|
| ISO 27001 | 3 tuần readiness, sau đó 4 tuần audit đến khi có chứng nhận | Chứng nhận của chính pTrackly và một customer case |
| HIPAA | 2 tuần readiness, sau đó 4 tuần đánh giá độc lập | Customer case |
| SOC 2 Type II | Readiness, sau đó observation period thường 3 đến 12 tháng, rồi audit | Ước tính, phụ thuộc phạm vi |
Không mốc nào là cam kết: lịch của auditor và thời gian khắc phục phát hiện nằm ngoài khả năng của bất kỳ công cụ nào.
Chi phí compliance năm đầu gồm những gì?
| Phương án | Chi phí cần tính | Ghi chú |
|---|---|---|
| Tự làm | Thời gian nội bộ và phí audit | Rẻ tiền mặt nhưng tốn nhân lực nhất |
| Thuê tư vấn | Phí tư vấn theo phạm vi và phí audit | Phí audit luôn tách riêng |
| Nền tảng compliance | Phí nền tảng, thời gian nội bộ và phí audit | Lấy báo giá cùng phạm vi để so sánh |
Phí audit luôn do CPA firm hoặc tổ chức chứng nhận báo giá riêng. So sánh chi tiết hơn ở trang chi phí SOC 2.
Startup hay mắc sai lầm nào?
- Đợi deal bị chặn mới làm. Với SOC 2 Type II, observation period khiến bạn không thể bắt kịp trong vài tuần.
- Làm để qua audit chứ không để an toàn thật. Kiểm soát chỉ có trên giấy không ngăn được sự cố, và khách hàng enterprise ngày càng hỏi bằng chứng vận hành.
- Bỏ qua rủi ro vendor. ISO 27001 và SOC 2 đều yêu cầu quản lý rủi ro bên thứ ba; mỗi SaaS bạn dùng là một vendor.
- Không duy trì sau khi có báo cáo. SOC 2 làm lại hằng năm, ISO 27001 có audit giám sát, kiểm soát sẽ trôi nếu không ai phụ trách.
pTrackly hỗ trợ startup Series A thế nào?
pTrackly hỗ trợ SOC 2 Type I và Type II, ISO 27001, HIPAA, GDPR, PCI DSS, ISO 42001 và ISO 9001; kiểm soát dùng chung giữa các framework nên framework thứ hai tái sử dụng policy và task của framework đầu. Nền tảng tạo bản nháp policy từ template và thông tin công ty để team duyệt, chuyển yêu cầu thành evidence task có owner và ngày review, và chạy kiểm tra read-only trên AWS, GitHub, Google Workspace và các hệ thống đã kết nối. Team quyết định phạm vi, vận hành kiểm soát và duyệt policy; CPA firm hoặc tổ chức chứng nhận thực hiện audit. Xem pTrackly cho startup và SOC 2 cho startup Việt Nam.
Câu hỏi thường gặp
Startup Series A có bắt buộc phải có SOC 2 không?
Không bắt buộc theo luật, nhưng khách hàng enterprise Mỹ thường yêu cầu báo cáo SOC 2 trước khi ký. Nếu pipeline chủ yếu ở Mỹ, nên bắt đầu SOC 2 trước hoặc quanh thời điểm gọi vốn.
Nên làm SOC 2 Type I hay Type II trước?
Nhiều startup làm Type I trước vì có thể phát hành sau readiness, rồi bắt đầu observation period của Type II, thường 3 đến 12 tháng. Khách hàng yêu cầu Type II vẫn sẽ hỏi Type II, nên hãy lên kế hoạch cho cả hai.
Startup Việt Nam bán cho khách hàng Nhật nên chọn framework nào?
ISO 27001 là yêu cầu phổ biến nhất với khách hàng Nhật và châu Âu. Hãy kiểm tra hợp đồng và security questionnaire của khách hàng cụ thể trước khi chọn.
VC có từ chối đầu tư nếu startup chưa có chứng nhận không?
Thường không chỉ vì lý do đó. VC quan tâm rủi ro có được quản lý không; policy rõ ràng, evidence kiểm soát và kế hoạch đạt báo cáo hay chứng nhận thường đủ ở giai đoạn này.
