Siamo una società di consulenza di sicurezza informatica di 4 persone: il nostro modello di pacchetti e prezzi è sbagliato?

Eravamo nello stesso vicolo cieco con un team di 3 persone. Abbiamo mollato i test una tantum e chiuso contratti di monitoraggio e audit a 2.000 sterline al mese con medie imprese locali nei settori finance e logistica. Ora abbiamo 12 clienti fissi e con 24.000 sterline al mese di entrate stabili lavoriamo concentrati senza l'ansia del mese successivo.

Dovete impostare la transizione per gradi. 1) Richiamate prima tutti i vecchi clienti a cui avete fatto penetration test nell'ultimo anno. 2) Proponete un controllo dicendo: "Avete corretto le falle individuate, ma sono emersi nuovi rischi negli ultimi 6 mesi?". 3) In calce alla proposta inserite un accordo di manutenzione mensile con 4 scansioni all'anno incluse.

Fate attenzione nel passaggio al modello mensile. Le PMI non amano pagare canoni mensili per la sicurezza: di solito stanziano budget solo quando subiscono una violazione o hanno un audit obbligatorio alle porte. Se non offrite loro report tecnici accompagnati da certificazioni di conformità che riducano i costi assicurativi o facilitino l'acquisizione di clienti, farete molta fatica a vendere contratti retainer.

Per evitare lo scope creep, inserite tassativamente queste 3 clausole nei vostri contratti: 1) L'elenco degli IP e dei domini inclusi nel perimetro del progetto è bloccato; qualsiasi nuovo asset sarà fatturato a parte. 2) Il re-test di verifica post-report prevede al massimo 1 round. 3) Le richieste di revisione non chiuse entro 14 giorni dalla presentazione del report si intendono completate.

la tariffa oraria uccide la consulenza. più sei veloce a risolvere e meno guadagni è un controsenso assurdo. create pacchetti a perimetro fisso e chiudete contratti mensili così lavorate sereni.

edit: ho scritto una cosa sbagliata sopra, scusate.

Nel mercato del Regno Unito, le normative sulla supply chain e gli standard di audit aziendali stanno diventando sempre più stringenti. Invece di vendere ai clienti una semplice scansione tecnica, se promettete loro di garantire il livello di sicurezza necessario per partecipare a gare d'appalto aziendali, farete accettare i canoni mensili di consulenza con molta più facilità.

Il primo anno abbiamo fatto un penetration test a 4.000 sterline per un cliente e-commerce. Per 8 mesi a ogni migrazione di server ci chiamavano dicendo "puoi dare un'occhiata al volo?" non riuscivamo a dire di no e siamo quasi falliti. Poi abbiamo tracciato una linea netta proponendo un accordo di supporto a 1.200 sterline al mese oppure la fatturazione a ore: hanno accettato l'accordo mensile senza battere ciglio.

Non vendete al cliente il tempo impiegato, ma il rischio eliminato e la tranquillità aziendale; nel momento in cui legate il prezzo alle ore, a essere negoziata non sarà la vostra competenza tecnica ma il vostro cronometro.

edit: ho corretto alcuni errori di battitura.

C'è un punto che mi incuriosisce. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Cambiare le abitudini è più difficile e costoso che impostare il sistema.

Ho vissuto la stessa cosa due anni fa. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Naturalmente cambia se la vostra situazione è diversa.

Argomento molto attuale. L'errore commesso da consulenza di sicurezza informatica è generalmente reversibile ma costoso.

Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla. Io seguirei questa strada.

Sono d'accordo. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo. Spero che le sia utile.

Parlo dal lato opposto, io sono dalla parte dei fornitori. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Io seguirei questa strada.

bisogna fare una distinzione qui e onestamente quando decidiamo senza misurare, finiaamo sempre nello stesso punto.

questa è la mia opinione, non la scrivo come veirtà assoluta.

Stavo pensando la stessa cosa. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Questa è la mia opinione, non la scrivo come verità assoluta.

Scrivo questo per evitare che facciate lo stesso errore. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Inizia con un piccolo test, non impegnarti subito su tutto. Confermato dall'esperienza.

Nel nostro caso è andata così. Guardate dove è il buco nel secchio; versare acqua sopra non risolve.

Spero che le sia utile.

Lascio un avvertimento. Quando prendi una decisione guarda prima quali dati hai a disposizione.

I primi tre mesi vanno bene, i problemi emergono al quarto mese. Naturalmente cambia se la vostra situazione è diversa.