{ "version": "2026-10-13", "release": "articles-discovery-2026-10-16", "contentDigest": "978fdce49dcf57706a07e44d5a482a82561e59b6ec7487d4b4e9f79a5237cc16", "publisher": { "name": "SundAI", "legalName": "RIIMON HOLDINGS LTD", "companyNumber": "13813344", "registryUrl": "https://find-and-update.company-information.service.gov.uk/company/13813344", "email": "eririmo@protonmail.com", "url": "https://sundaibot.com/" }, "languages": [ "en", "da", "sv" ], "articles": { "en": { "hub": "https://sundaibot.com/insights/", "feed": "https://sundaibot.com/insights/feed.xml", "pages": [ { "url": "https://sundaibot.com/insights/ai-generated-code-security-review.html", "title": "AI-generated code: a security review before you ship", "published": "2026-10-16" }, { "url": "https://sundaibot.com/insights/ai-security-assessment-vs-pentest.html", "title": "AI security assessment or penetration test: what should you buy?", "published": "2026-10-16" }, { "url": "https://sundaibot.com/insights/mcp-security-review-business.html", "title": "MCP security: seven questions before connecting an AI agent", "published": "2026-10-16" }, { "url": "https://sundaibot.com/insights/secure-ai-automation-cost-roi.html", "title": "What does secure AI automation cost? Build a useful ROI case", "published": "2026-10-16" }, { "url": "https://sundaibot.com/insights/denmark-cpr-access-security.html", "title": "Denmark’s CPR case: what product teams should check before granting access", "published": "2026-10-14" }, { "url": "https://sundaibot.com/insights/ai-agent-security-checklist-2026.html", "title": "Before your AI agent gets access: seven decisions to make", "published": "2026-09-18" }, { "url": "https://sundaibot.com/insights/ai-future-ready-business-90-day-plan.html", "title": "Will AI replace your team? Start with a 90-day plan.", "published": "2026-09-18" }, { "url": "https://sundaibot.com/insights/prompt-injection-business-guide.html", "title": "A document can redirect your AI. What should stop it?", "published": "2026-09-18" }, { "url": "https://sundaibot.com/insights/ai-framework-comparison.html", "title": "EU AI Act vs ISO/IEC 42001 vs ISO/IEC 27001 vs NIST AI RMF", "published": "2026-09-04" }, { "url": "https://sundaibot.com/insights/ai-vendor-security-review.html", "title": "AI vendor security review: 30 questions before you buy", "published": "2026-09-04" }, { "url": "https://sundaibot.com/insights/article-50-transparency-checklist.html", "title": "Article 50 transparency: a practical implementation checklist", "published": "2026-09-04" }, { "url": "https://sundaibot.com/insights/eu-ai-act-2026-what-applies-now.html", "title": "EU AI Act 2026: what applies now — and what comes next", "published": "2026-09-04" }, { "url": "https://sundaibot.com/insights/secure-rag-ai-assistants.html", "title": "Secure RAG and AI assistants: a 2026 security baseline", "published": "2026-09-04" }, { "url": "https://sundaibot.com/insights/shadow-ai-governance.html", "title": "Shadow AI governance: control risk without banning useful AI", "published": "2026-09-04" }, { "url": "https://sundaibot.com/insights/why-ai-pilots-fail.html", "title": "Why AI pilots fail after the demo", "published": "" } ] }, "da": { "hub": "https://sundaibot.com/da/insights/", "feed": "https://sundaibot.com/da/insights/feed.xml", "pages": [ { "url": "https://sundaibot.com/da/insights/ai-genereret-kode-sikkerhed.html", "title": "AI-genereret kode: sikkerhedsgennemgang før idriftsættelse", "published": "2026-10-16" }, { "url": "https://sundaibot.com/da/insights/ai-sikkerhedsvurdering-eller-penetrationstest.html", "title": "AI-sikkerhedsvurdering eller penetrationstest: hvad skal I købe?", "published": "2026-10-16" }, { "url": "https://sundaibot.com/da/insights/mcp-sikkerhed-virksomheder.html", "title": "MCP-sikkerhed: syv spørgsmål før I forbinder en AI-agent", "published": "2026-10-16" }, { "url": "https://sundaibot.com/da/insights/sikker-ai-automatisering-pris-roi.html", "title": "Hvad koster sikker AI-automatisering? Beregn værdien før køb", "published": "2026-10-16" }, { "url": "https://sundaibot.com/da/insights/denmark-cpr-access-security.html", "title": "CPR-sagen i Danmark: Hvad produktteams bør kontrollere før adgang gives", "published": "2026-10-14" }, { "url": "https://sundaibot.com/da/insights/ai-agenter-sikkerhed-tjekliste-2026.html", "title": "Før AI-agenten får adgang: syv beslutninger", "published": "2026-09-18" }, { "url": "https://sundaibot.com/da/insights/ai-fremtid-90-dages-plan.html", "title": "Erstatter AI jeres team? Start med en 90-dages plan.", "published": "2026-09-18" }, { "url": "https://sundaibot.com/da/insights/prompt-injection-guide-virksomheder.html", "title": "Et dokument kan omdirigere jeres AI. Hvad stopper det?", "published": "2026-09-18" }, { "url": "https://sundaibot.com/da/insights/ai-framework-sammenligning.html", "title": "EU AI Act vs ISO/IEC 42001 vs ISO/IEC 27001 vs NIST AI RMF", "published": "2026-09-04" }, { "url": "https://sundaibot.com/da/insights/ai-leverandoer-sikkerhedsreview.html", "title": "AI-leverandørreview: 30 spørgsmål før I køber", "published": "2026-09-04" }, { "url": "https://sundaibot.com/da/insights/artikel-50-transparens-tjekliste.html", "title": "Artikel 50-transparens: en praktisk implementeringstjekliste", "published": "2026-09-04" }, { "url": "https://sundaibot.com/da/insights/eu-ai-act-2026-hvad-gaelder-nu.html", "title": "EU AI Act 2026: hvad gælder nu — og hvad kommer bagefter?", "published": "2026-09-04" }, { "url": "https://sundaibot.com/da/insights/shadow-ai-governance.html", "title": "Shadow AI governance: kontrollér risiko uden at forbyde nyttig AI", "published": "2026-09-04" }, { "url": "https://sundaibot.com/da/insights/sikre-rag-ai-assistenter.html", "title": "Sikker RAG og AI-assistenter: en 2026-sikkerhedsbaseline", "published": "2026-09-04" }, { "url": "https://sundaibot.com/da/insights/hvorfor-ai-piloter-fejler.html", "title": "Hvorfor AI-piloter fejler efter demoen", "published": "" } ] }, "sv": { "hub": "https://sundaibot.com/sv/insights/", "feed": "https://sundaibot.com/sv/insights/feed.xml", "pages": [ { "url": "https://sundaibot.com/sv/insights/ai-genererad-kod-sakerhetsgranskning.html", "title": "AI-genererad kod: säkerhetsgranskning före lansering", "published": "2026-10-16" }, { "url": "https://sundaibot.com/sv/insights/ai-sakerhetsgranskning-eller-penetrationstest.html", "title": "AI-säkerhetsgranskning eller penetrationstest: vad ska ni köpa?", "published": "2026-10-16" }, { "url": "https://sundaibot.com/sv/insights/mcp-sakerhet-foretag.html", "title": "MCP-säkerhet: sju frågor innan ni ansluter en AI-agent", "published": "2026-10-16" }, { "url": "https://sundaibot.com/sv/insights/saker-ai-automatisering-kostnad-roi.html", "title": "Vad kostar säker AI-automatisering? Räkna på nyttan före köp", "published": "2026-10-16" }, { "url": "https://sundaibot.com/sv/insights/denmark-cpr-access-security.html", "title": "CPR-fallet i Danmark: Vad produktteam bör kontrollera innan åtkomst ges", "published": "2026-10-14" }, { "url": "https://sundaibot.com/sv/insights/ai-agenter-sakerhet-checklista-2026.html", "title": "Innan AI-agenten får åtkomst: sju beslut", "published": "2026-09-18" }, { "url": "https://sundaibot.com/sv/insights/ai-framtid-90-dagars-plan.html", "title": "Ersätter AI ert team? Börja med en 90-dagarsplan.", "published": "2026-09-18" }, { "url": "https://sundaibot.com/sv/insights/prompt-injection-guide-foretag.html", "title": "Ett dokument kan styra om er AI. Vad stoppar det?", "published": "2026-09-18" }, { "url": "https://sundaibot.com/sv/insights/ai-leverantor-sakerhetsgranskning.html", "title": "AI-leverantörsgranskning: 30 frågor innan ni köper", "published": "2026-09-04" }, { "url": "https://sundaibot.com/sv/insights/ai-ramverk-jamforelse.html", "title": "EU AI Act vs ISO/IEC 42001 vs ISO/IEC 27001 vs NIST AI RMF", "published": "2026-09-04" }, { "url": "https://sundaibot.com/sv/insights/artikel-50-transparens-checklista.html", "title": "Artikel 50-transparens: en praktisk implementeringschecklista", "published": "2026-09-04" }, { "url": "https://sundaibot.com/sv/insights/eu-ai-act-2026-vad-galler-nu.html", "title": "EU AI Act 2026: vad gäller nu — och vad kommer härnäst?", "published": "2026-09-04" }, { "url": "https://sundaibot.com/sv/insights/saker-rag-ai-assistenter.html", "title": "Säker RAG och AI-assistenter: en 2026-säkerhetsbaseline", "published": "2026-09-04" }, { "url": "https://sundaibot.com/sv/insights/shadow-ai-styrning.html", "title": "Shadow AI-styrning: kontrollera risk utan att förbjuda användbar AI", "published": "2026-09-04" }, { "url": "https://sundaibot.com/sv/insights/varfor-ai-piloter-misslyckas.html", "title": "Varför AI-piloter misslyckas efter demon", "published": "" } ] } }, "serviceDirectories": { "en": "https://sundaibot.com/services/", "da": "https://sundaibot.com/da/ydelser/", "sv": "https://sundaibot.com/sv/tjanster/" }, "buyerGuides": { "en": "https://sundaibot.com/service-selection/", "da": "https://sundaibot.com/da/vaelg-ydelse/", "sv": "https://sundaibot.com/sv/valj-tjanst/" }, "questionsAndAnswers": { "en": "https://sundaibot.com/faq/", "da": "https://sundaibot.com/da/spoergsmaal-svar/", "sv": "https://sundaibot.com/sv/fragor-svar/" }, "services": [ { "id": "compliance-ai-governance", "locales": { "en": { "name": "Compliance, GRC & AI Governance", "url": "https://sundaibot.com/services/compliance-ai-governance/", "summary": "AI governance consulting makes the uncomfortable questions easier to answer: which AI tools are in use, what data they touch and who owns the risks. Your team gets a focused compliance readiness assessment and a prioritised plan, rather than another policy folder nobody opens.", "scope": "Compliance Readiness Sprint: one organisation, one process or product, one framework and up to ten control areas. We agree the scope and acceptance criteria in writing before work starts.", "deliverables": [ "Map AI uses, suppliers, data flows and responsibilities for the agreed process or product.", "Review up to ten control areas and record gaps, supporting evidence and risk priorities.", "Deliver an action plan, up to three draft documents and a handover session." ], "clientResponsibilities": "Provide accurate process information, relevant policies and a decision-maker. Your organisation owns the resulting decisions, implementation and ongoing compliance. Changes to the agreed scope require approval before work proceeds.", "exclusions": "Full ISMS implementation, ISO certification, a SOC 2 examination, legal opinions and DPO appointment are outside this package. Wider implementation is quoted separately.", "illustrativeAcceptanceCriteria": [ "Each agreed control area links to available evidence or a recorded gap, with a proposed owner and next step.", "Document drafts identify the agreed process and framework, assumptions and decisions needing your approval." ], "acceptanceCriteriaStatus": "Illustrative checks for negotiation. These are not completed test results, new contractual promises or additions to the package. The written proposal defines the actual acceptance criteria.", "questionsAndAnswers": [ { "q": "Which frameworks can we discuss?", "a": "ISO/IEC 27001 and ISO/IEC 42001 readiness, GDPR consulting, NIS2 readiness, DORA readiness and SOC 2 readiness, where applicable. The entry package covers one agreed framework; it does not assert that all of them apply to you." }, { "q": "Does this certify us?", "a": "No. ISO certification is issued by an appropriate certification body. SOC 2 is a separate professional examination and report. Readiness advice or a single penetration test cannot establish complete regulatory compliance." }, { "q": "What does an ISO 27001 gap analysis or ISO 42001 readiness review cover?", "a": "The agreed sprint reviews one framework and up to ten control areas. ISO 27001 readiness focuses on the agreed information-security evidence; ISO 42001 readiness addresses the agreed AI-management evidence. Full implementation and certification are separate." }, { "q": "When is GDPR readiness consulting or DPIA support for AI processing useful?", "a": "GDPR consulting helps clarify the defined data-processing questions in scope. A separately scoped DPIA assessment examines one processing activity, risks to people and possible safeguards. Your organisation retains its decisions and ongoing responsibilities." }, { "q": "Can this help us with SOC 2 readiness consulting?", "a": "SOC 2 readiness can identify gaps in the agreed controls and evidence. A SOC 2 examination and assurance report are separate professional work; this service does not issue them." }, { "q": "Do we get security policy development or an AI policy?", "a": "Up to three draft documents can be included in the agreed sprint. Security policy development, an AI acceptable use policy or responsibility records should reflect your actual process and require your approval." }, { "q": "Is fractional CISO consulting or DPO support included?", "a": "Fractional CISO consulting is a separately defined leadership mandate. DPO support is a distinct privacy service requiring an appropriate professional and an independence review. Neither role is automatically included in the readiness sprint." }, { "q": "What should we prepare for a compliance readiness assessment?", "a": "Bring the product or process, relevant countries and sector, existing policies, supplier details and a decision-maker. We agree the framework, deliverables and acceptance criteria before work starts." } ] }, "da": { "name": "Compliance, GRC & AI-governance", "url": "https://sundaibot.com/da/ydelser/compliance-ai-governance/", "summary": "Rådgivning om AI-governance gør de svære spørgsmål lettere at besvare: hvilke AI-værktøjer bruges, hvilke data berører de, og hvem ejer risikoen? Teamet får en afgrænset vurdering af compliance-parathed og en prioriteret plan, som kan bruges i praksis.", "scope": "Compliance Readiness Sprint: én organisation, én proces eller ét produkt, ét regelsæt eller én standard og op til ti kontrolområder. Omfang og acceptkriterier aftales skriftligt, før arbejdet begynder.", "deliverables": [ "Kortlæg AI-anvendelser, leverandører, datastrømme og ansvar for den aftalte proces eller det aftalte produkt.", "Gennemgå op til ti kontrolområder, og dokumentér mangler, eksisterende evidens og risikoprioriteter.", "Modtag en handlingsplan, op til tre dokumentudkast og et overdragelsesmøde." ], "clientResponsibilities": "Stil korrekte procesoplysninger, relevante politikker og en beslutningstager til rådighed. Organisationen er ansvarlig for beslutninger, implementering og løbende overholdelse. Ændringer af omfanget skal godkendes, før de udføres.", "exclusions": "Fuld implementering af et ISMS, ISO-certificering, SOC 2-erklæring, juridiske udtalelser og udpegning af en DPO er ikke inkluderet. Større implementeringer får et særskilt tilbud.", "illustrativeAcceptanceCriteria": [ "Hvert aftalt kontrolområde henviser til eksisterende dokumentation eller en registreret mangel med foreslået ansvarlig og næste skridt.", "Dokumentudkast angiver aftalt proces og regelsæt, forudsætninger og beslutninger, der kræver jeres godkendelse." ], "acceptanceCriteriaStatus": "Illustrative kontroller til forhandling. De er ikke gennemførte testresultater, nye kontraktløfter eller udvidelser af pakken. Det skriftlige tilbud fastlægger de faktiske acceptkriterier.", "questionsAndAnswers": [ { "q": "Hvilke standarder og krav kan vi tale om?", "a": "Parathed til ISO/IEC 27001 og ISO/IEC 42001, GDPR-rådgivning, NIS2-parathed, DORA-parathed og SOC 2-parathed, hvor det er relevant. Startpakken omfatter ét aftalt regelsæt eller én standard; vi antager ikke, at alle gælder for jer." }, { "q": "Bliver vi certificeret?", "a": "Nej. ISO-certificering udstedes af et relevant certificeringsorgan. SOC 2 er en særskilt professionel undersøgelse og rapport. Rådgivning om parathed eller én penetrationstest dokumenterer ikke fuld regeloverholdelse." }, { "q": "Hvad omfatter en gap-analyse for ISO 27001 og parathed til ISO 42001?", "a": "Den aftalte sprint gennemgår én standard og op til ti kontrolområder. ISO 27001-parathed vedrører aftalt informationssikkerhedsdokumentation; ISO 42001-parathed vedrører aftalt AI-ledelsesdokumentation. Fuld implementering og certificering er separate opgaver." }, { "q": "Hvornår er GDPR-rådgivning og parathed eller hjælp til DPIA for AI-behandling nyttige?", "a": "GDPR-rådgivning afklarer de aftalte spørgsmål om databehandling. En særskilt DPIA-vurdering undersøger én behandling, risici for personer og mulige beskyttelsestiltag. Organisationen beholder sine beslutninger og sit løbende ansvar." }, { "q": "Kan I hjælpe med rådgivning om SOC 2-parathed?", "a": "SOC 2-parathed kan afdække mangler i aftalte kontroller og dokumentation. En SOC 2-undersøgelse og erklæring er særskilt professionelt arbejde; denne ydelse udsteder dem ikke." }, { "q": "Får vi udvikling af sikkerhedspolitikker eller en AI-politik?", "a": "Op til tre dokumentudkast kan indgå i den aftalte sprint. Udvikling af sikkerhedspolitikker, en politik for acceptabel AI-brug eller ansvarsregistrering skal passe til den faktiske proces og godkendes af jer." }, { "q": "Er rådgivning fra en ekstern CISO eller DPO-støtte inkluderet?", "a": "Rådgivning fra en ekstern CISO er et særskilt ledelsesmandat. DPO-støtte er en selvstændig databeskyttelsesydelse med krav til fagperson og vurdering af uafhængighed. Roller indgår ikke automatisk i sprinten." }, { "q": "Hvad skal vi forberede til en vurdering af compliance-parathed?", "a": "Medbring produkt eller proces, relevante lande og branche, eksisterende politikker, leverandøroplysninger og en beslutningstager. Standard, leverancer og acceptkriterier aftales, før arbejdet begynder." } ] }, "sv": { "name": "Compliance, GRC & AI-styrning", "url": "https://sundaibot.com/sv/tjanster/compliance-ai-governance/", "summary": "Rådgivning om AI-styrning gör de svåra frågorna lättare att besvara: vilka AI-verktyg används, vilka data berör de och vem ansvarar för riskerna? Teamet får en avgränsad bedömning av compliance-beredskap och en prioriterad plan att använda i praktiken.", "scope": "Compliance Readiness Sprint: en organisation, en process eller produkt, ett regelverk eller en standard och upp till tio kontrollområden. Omfattning och acceptanskriterier avtalas skriftligt innan arbetet börjar.", "deliverables": [ "Kartlägg AI-användning, leverantörer, dataflöden och ansvar för den avtalade processen eller produkten.", "Granska upp till tio kontrollområden och dokumentera brister, befintliga underlag och riskprioriteringar.", "Få en åtgärdsplan, upp till tre dokumentutkast och ett överlämningsmöte." ], "clientResponsibilities": "Tillhandahåll korrekta processuppgifter, relevanta policyer och en beslutsfattare. Organisationen ansvarar för beslut, genomförande och löpande regelefterlevnad. Ändringar i omfattningen kräver godkännande innan arbetet utförs.", "exclusions": "Fullständig ISMS-implementering, ISO-certifiering, SOC 2-granskning, juridiska utlåtanden och utnämning av dataskyddsombud ingår inte. Mer omfattande implementering offereras separat.", "illustrativeAcceptanceCriteria": [ "Varje avtalat kontrollområde hänvisar till befintligt underlag eller en dokumenterad brist, med föreslagen ansvarig och nästa steg.", "Dokumentutkast anger avtalad process och regelverk, antaganden och beslut som kräver ert godkännande." ], "acceptanceCriteriaStatus": "Illustrativa kontroller att förhandla om. De är inte genomförda testresultat, nya avtalslöften eller tillägg till paketet. Den skriftliga offerten fastställer de faktiska acceptanskriterierna.", "questionsAndAnswers": [ { "q": "Vilka standarder och regelverk kan vi diskutera?", "a": "Beredskap inför ISO/IEC 27001 och ISO/IEC 42001, GDPR-rådgivning, NIS2-beredskap, DORA-beredskap och SOC 2-beredskap där de är tillämpliga. Startpaketet omfattar ett överenskommet regelverk eller en standard; vi förutsätter inte att samtliga gäller er." }, { "q": "Blir vi certifierade?", "a": "Nej. ISO-certifiering utfärdas av ett lämpligt certifieringsorgan. SOC 2 är en separat professionell granskning och rapport. Beredskapsrådgivning eller ett enskilt penetrationstest visar inte fullständig regelefterlevnad." }, { "q": "Vad omfattar gapanalys för ISO 27001 och beredskap inför ISO 42001?", "a": "Den avtalade sprinten granskar en standard och upp till tio kontrollområden. ISO 27001-beredskap gäller avtalade informationssäkerhetsunderlag; ISO 42001-beredskap gäller avtalade underlag för AI-ledning. Full implementering och certifiering är separata uppdrag." }, { "q": "När är GDPR-rådgivning och beredskap eller stöd för DPIA vid AI-behandling användbart?", "a": "GDPR-rådgivning klargör avtalade frågor om databehandling. En separat DPIA-bedömning granskar en behandling, risker för människor och möjliga skyddsåtgärder. Organisationen behåller sina beslut och sitt löpande ansvar." }, { "q": "Kan ni hjälpa med rådgivning inför SOC 2-granskning?", "a": "SOC 2-beredskap kan visa brister i avtalade kontroller och underlag. En SOC 2-granskning och bestyrkanderapport är separat professionellt arbete; denna tjänst utfärdar dem inte." }, { "q": "Får vi utveckling av säkerhetspolicyer eller en AI-policy?", "a": "Upp till tre dokumentutkast kan ingå i den avtalade sprinten. Utveckling av säkerhetspolicyer, en policy för acceptabel AI-användning eller ansvarsregister ska spegla den verkliga processen och godkännas av er." }, { "q": "Ingår rådgivning från en extern CISO eller DPO-stöd?", "a": "Rådgivning från en extern CISO är ett separat ledningsuppdrag. DPO-stöd är en särskild dataskyddstjänst med krav på lämplig yrkesperson och bedömning av oberoende. Roller ingår inte automatiskt i sprinten." }, { "q": "Vad ska vi förbereda inför en bedömning av compliance-beredskap?", "a": "Ta med produkten eller processen, relevanta länder och bransch, befintliga policyer, leverantörsuppgifter och en beslutsfattare. Standard, leveranser och acceptanskriterier avtalas innan arbetet börjar." } ] } } }, { "id": "secure-ai-automation", "locales": { "en": { "name": "Secure AI Business Automation", "url": "https://sundaibot.com/services/secure-ai-automation/", "summary": "Business workflow automation frees your team from repeated copying, chasing and checking. We use secure AI automation where it earns its place, and straightforward rules where they do the job better. Start with one useful workflow and keep control of exceptions, costs and approvals.", "scope": "Secure AI Automation Sprint: one workflow, up to two systems with existing documented APIs, one trigger, one deployment environment and two refinement rounds. Acceptance criteria and operating costs are agreed before implementation.", "deliverables": [ "Process specification, data map and integrations with least-privilege access and managed secrets.", "Input/output validation, token budgets where relevant, retries, duplicate-action prevention, minimal logs and alerts.", "Approval for sensitive actions, fallback behaviour, two refinement rounds and handover documentation." ], "clientResponsibilities": "Provide authorised API access, a process owner and representative test data. Approve sensitive actions and the acceptance tests; retain responsibility for operational decisions and permissions.", "exclusions": "Creating an unavailable API, major system migration and unrestricted payments or consequential actions are excluded. Cloud, model, messaging and external licence costs are agreed separately with a budget or cap.", "illustrativeAcceptanceCriteria": [ "Replaying an agreed input does not create a duplicate action; the test records the outcome.", "An agreed downstream failure produces the defined alert or human handoff; a sensitive action waits for required approval." ], "acceptanceCriteriaStatus": "Illustrative checks for negotiation. These are not completed test results, new contractual promises or additions to the package. The written proposal defines the actual acceptance criteria.", "questionsAndAnswers": [ { "q": "What fits in a business process automation sprint?", "a": "One workflow, one trigger, up to two systems with existing documented APIs and one deployment environment. Automation handover documentation and two refinement rounds support a practical handover. Wider process changes are scoped separately." }, { "q": "Do AI workflow integration and LLM automation always add value?", "a": "No. AI workflow integration should solve a defined problem. LLM automation can help with variable text, but fixed rules are often clearer for validation and state changes. We agree evaluation criteria before selecting the approach." }, { "q": "Can you automate CRM, order and inventory updates?", "a": "CRM workflow automation, order processing automation and inventory workflow automation are possible when the selected systems provide authorised, documented APIs. Shopify automation or other platform work depends on the specific access, actions and scope." }, { "q": "How do you control sensitive actions?", "a": "Human approval workflows, least-privilege API access and secure automation secret management set the boundaries. Workflow input and output validation check data before the next step. Payments and other material actions do not receive unrestricted authority." }, { "q": "What happens when an automation fails or repeats an event?", "a": "Automation error handling includes controlled retries, duplicate prevention, alerts and an exception handoff as agreed. Representative failures are tested; successful automation is not inferred from the absence of an error message." }, { "q": "What should we bring to an automation discovery session?", "a": "Bring the repeated task, its owner, the systems involved and representative test data. We use workflow discovery to agree acceptance criteria, external licence costs, cloud costs and any relevant AI token budget before building." } ] }, "da": { "name": "Sikker AI-automatisering af virksomheden", "url": "https://sundaibot.com/da/ydelser/secure-ai-automation/", "summary": "Automatisering af virksomhedens arbejdsgange frigør teamet fra gentagen kopiering, rykkere og kontrol. Vi bruger sikker AI-automatisering, hvor det giver værdi, og faste regler, hvor de løser opgaven bedre. Start med én nyttig proces, og behold kontrollen over undtagelser, omkostninger og godkendelser.", "scope": "Secure AI Automation Sprint: én arbejdsgang, op til to systemer med eksisterende dokumenterede API’er, én trigger, ét driftsmiljø og to tilpasningsrunder. Acceptkriterier og driftsomkostninger aftales før implementering.", "deliverables": [ "Procesbeskrivelse, datakortlægning og integrationer med mindst mulige rettigheder og administrerede hemmeligheder.", "Validering af input og output, relevante tokenbudgetter, genforsøg, forebyggelse af dublerede handlinger, begrænsede logs og alarmer.", "Godkendelse af følsomme handlinger, fallback, to tilpasningsrunder og dokumentation til overdragelse." ], "clientResponsibilities": "Stil autoriseret API-adgang, en procesejer og repræsentative testdata til rådighed. Godkend følsomme handlinger og accepttests, og behold ansvaret for driftsbeslutninger og rettigheder.", "exclusions": "Udvikling af et manglende API, større systemmigreringer og ubegrænsede betalinger eller væsentlige handlinger er ikke inkluderet. Cloud, modeller, beskedtjenester og eksterne licenser aftales særskilt med budget eller loft.", "illustrativeAcceptanceCriteria": [ "Gentagelse af et aftalt input skaber ikke en dubleret handling; testen registrerer resultatet.", "En aftalt fejl i et tilsluttet system udløser den definerede alarm eller menneskelig overtagelse; følsomme handlinger afventer krævet godkendelse." ], "acceptanceCriteriaStatus": "Illustrative kontroller til forhandling. De er ikke gennemførte testresultater, nye kontraktløfter eller udvidelser af pakken. Det skriftlige tilbud fastlægger de faktiske acceptkriterier.", "questionsAndAnswers": [ { "q": "Hvad indgår i en sprint for procesautomatisering?", "a": "Én arbejdsgang, én trigger, op til to systemer med eksisterende dokumenterede API’er og ét driftsmiljø. Dokumentation til overdragelse af automatisering og to tilpasningsrunder understøtter overdragelsen. Større procesændringer afgrænses særskilt." }, { "q": "Giver AI-workflow-integration og LLM-automatisering altid værdi?", "a": "Nej. AI-workflow-integration skal løse et bestemt problem. LLM-automatisering kan hjælpe med varierende tekst, men faste regler er ofte tydeligere ved validering og tilstandsændringer. Vurderingskriterier aftales før metodevalget." }, { "q": "Kan I automatisere CRM, ordrer og lager?", "a": "Automatisering af CRM-arbejdsgange, automatisering af ordrebehandling og automatisering af lagerarbejdsgange er mulige med autoriserede, dokumenterede API’er. Shopify-automatisering og andet platformarbejde afhænger af adgang, handlinger og omfang." }, { "q": "Hvordan styres følsomme handlinger?", "a": "Arbejdsgange med menneskelig godkendelse, API-adgang med mindst mulige rettigheder og sikker håndtering af hemmeligheder i automatisering sætter rammerne. Validering af input og output i arbejdsgange kontrollerer data før næste trin. Betalinger får ikke ubegrænset autoritet." }, { "q": "Hvad sker der ved fejl eller gentagne hændelser?", "a": "Fejlhåndtering i automatisering omfatter aftalte genforsøg, forebyggelse af dubletter, alarmer og overdragelse af undtagelser. Repræsentative fejl testes; fravær af en fejlmeddelelse er ikke i sig selv dokumentation for succes." }, { "q": "Hvad skal vi medbringe til en workflow-afklaring?", "a": "Medbring rutineopgaven, ejeren, systemerne og repræsentative testdata. Workflow-afklaring bruges til at aftale acceptkriterier, eksterne licensomkostninger, cloudomkostninger og et relevant AI-tokenbudget før udvikling." } ] }, "sv": { "name": "Säker AI-automatisering för företag", "url": "https://sundaibot.com/sv/tjanster/secure-ai-automation/", "summary": "Automatisering av företags arbetsflöden frigör teamet från upprepad kopiering, påminnelser och kontroller. Vi använder säker AI-automatisering där den skapar värde och fasta regler där de löser uppgiften bättre. Börja med ett användbart flöde och behåll kontrollen över avvikelser, kostnader och godkännanden.", "scope": "Secure AI Automation Sprint: ett arbetsflöde, upp till två system med befintliga dokumenterade API:er, en utlösare, en driftsmiljö och två justeringsrundor. Acceptanskriterier och driftkostnader avtalas före implementeringen.", "deliverables": [ "Processbeskrivning, datakartläggning och integrationer med minsta möjliga behörighet och hanterade hemligheter.", "Validering av indata och utdata, relevanta tokenbudgetar, återförsök, skydd mot dubbla åtgärder, begränsade loggar och larm.", "Godkännande av känsliga åtgärder, reservförfarande, två justeringsrundor och överlämningsdokumentation." ], "clientResponsibilities": "Tillhandahåll auktoriserad API-åtkomst, en processägare och representativa testdata. Godkänn känsliga åtgärder och acceptanstester och behåll ansvaret för verksamhetsbeslut och behörigheter.", "exclusions": "Utveckling av ett saknat API, större systemmigreringar och obegränsade betalningar eller väsentliga åtgärder ingår inte. Moln, modeller, meddelandetjänster och externa licenser avtalas separat med budget eller kostnadstak.", "illustrativeAcceptanceCriteria": [ "Upprepning av ett avtalat indatafall skapar ingen dubbel åtgärd; testet dokumenterar utfallet.", "Ett avtalat fel i ett anslutet system ger definierat larm eller mänsklig överlämning; känsliga åtgärder inväntar erforderligt godkännande." ], "acceptanceCriteriaStatus": "Illustrativa kontroller att förhandla om. De är inte genomförda testresultat, nya avtalslöften eller tillägg till paketet. Den skriftliga offerten fastställer de faktiska acceptanskriterierna.", "questionsAndAnswers": [ { "q": "Vad ingår i en sprint för processautomatisering?", "a": "Ett arbetsflöde, en utlösare, upp till två system med befintliga dokumenterade API:er och en driftsmiljö. Överlämningsdokumentation för automatisering och två justeringsrundor stödjer överlämningen. Större processändringar avgränsas separat." }, { "q": "Skapar AI-integration av arbetsflöden och LLM-automatisering alltid värde?", "a": "Nej. AI-integration av arbetsflöden ska lösa ett konkret problem. LLM-automatisering kan hjälpa med varierande text, men fasta regler är ofta tydligare vid validering och tillståndsändringar. Utvärderingskriterier avtalas före metodvalet." }, { "q": "Kan ni automatisera CRM, order och lager?", "a": "Automatisering av CRM-arbetsflöden, automatisering av orderhantering och automatisering av lagerarbetsflöden är möjliga med auktoriserade, dokumenterade API:er. Shopify-automatisering och annat plattformsarbete beror på åtkomst, åtgärder och omfattning." }, { "q": "Hur styrs känsliga åtgärder?", "a": "Arbetsflöden med mänskligt godkännande, API-åtkomst med minsta möjliga behörighet och säker hantering av hemligheter i automatisering sätter ramarna. Validering av indata och utdata i arbetsflöden kontrollerar data före nästa steg. Betalningar får inte obegränsat mandat." }, { "q": "Vad händer vid fel eller upprepade händelser?", "a": "Felhantering i automatisering omfattar avtalade återförsök, skydd mot dubbletter, larm och överlämning av avvikelser. Representativa fel testas; avsaknad av ett felmeddelande är inte i sig bevis på framgång." }, { "q": "Vad ska vi förbereda inför en kartläggning av arbetsflöden?", "a": "Ta med rutinuppgiften, ägaren, systemen och representativa testdata. Kartläggning av arbetsflöden används för att avtala acceptanskriterier, externa licenskostnader, molnkostnader och en relevant AI-tokenbudget före utveckling." } ] } } }, { "id": "private-ai-agents-rag", "locales": { "en": { "name": "Private AI Assistants, Agents & RAG", "url": "https://sundaibot.com/services/private-ai-agents-rag/", "summary": "Private AI assistant development makes approved knowledge easier to find without giving every user the same access. Enterprise RAG implementation connects an assistant to a ready-to-use source, with citations, clear permissions and an evaluation baseline. Useful answers matter more than confident guesses.", "scope": "Private AI Assistant / RAG Pilot: one assistant, one ready-to-use knowledge source, one interface, one cloud provider, up to two user roles and up to ten pilot users. Agent actions are included only when explicitly described in the written scope.", "deliverables": [ "User identity and permissions enforced before retrieval, with separation of clients and sources across embeddings, vector stores, caches and exports.", "Scoped tools, supervised write actions, separation of instructions from untrusted content, and prompt-injection and source-poisoning tests.", "Secret protection, minimal sensitive logging, answer citations, retention and deletion rules, usage and cost controls, security and acceptance tests, and handover." ], "clientResponsibilities": "Provide a knowledge source you are authorised to use, accurate role permissions and a pilot owner. Approve data-processing terms, retention, suppliers and hosting region before deployment. Validate the pilot before expanding its use.", "exclusions": "Multi-cloud, fine-tuning, extensive OCR, production availability commitments and WhatsApp Business are outside the base package. Additional channels, data preparation and integration work are separately scoped.", "illustrativeAcceptanceCriteria": [ "The agreed restricted-document test denies retrieval and source access to a role without permission.", "Agreed supported questions cite permitted sources; an unsupported question produces the defined refusal or handoff." ], "acceptanceCriteriaStatus": "Illustrative checks for negotiation. These are not completed test results, new contractual promises or additions to the package. The written proposal defines the actual acceptance criteria.", "questionsAndAnswers": [ { "q": "What does private mean here?", "a": "Access and data handling are scoped for your organisation. The project identifies who processes content, which endpoints receive it, the storage region, supplier data-use terms and processing agreements. Private does not automatically mean EU-only or on-premises." }, { "q": "Is the complete AI chain end-to-end encrypted?", "a": "We specify TLS in transit and encryption at rest according to the architecture. We do not describe the complete path to an LLM as end-to-end encrypted without evidence that supports that claim." }, { "q": "What is a private AI assistant pilot?", "a": "One assistant, one ready-to-use knowledge source, one interface, one cloud provider, up to two user roles and up to ten pilot users. An enterprise AI chatbot or a document assistant is scoped around a real question set." }, { "q": "What does secure RAG implementation protect?", "a": "Secure RAG implementation addresses identity, retrieval permissions and source handling within the agreed architecture. Access-controlled retrieval must also account for vector stores, caches and exports; encryption alone does not establish permission boundaries." }, { "q": "Can we use Azure, AWS or Google Cloud?", "a": "An Azure private AI assistant, an AWS private AI assistant or a Google Cloud private AI assistant can be discussed for the chosen architecture. The base pilot selects one cloud; hosting region, supplier terms and retention are agreed before deployment." }, { "q": "Can the agent update systems as well as answer questions?", "a": "AI agent tool integration is included only when explicitly scoped. Human-supervised AI agents use limited permissions and approval for sensitive writes. A retrieved document or model answer does not grant authority to take action." }, { "q": "How do you check answer quality?", "a": "AI assistant evaluation uses representative questions, expected evidence, citation checks, permission tests and unsupported-answer refusal. RAG evaluation gives a baseline for a rollout decision; it does not promise that every answer will be correct." }, { "q": "Can we add website chat or WhatsApp later?", "a": "Website AI chatbot integration and WhatsApp AI integration require separate scope, platform access, data-processing terms and supplier costs. The initial pilot includes one agreed interface, with data retention rules and handover documentation." } ] }, "da": { "name": "Private AI-assistenter, agenter & RAG", "url": "https://sundaibot.com/da/ydelser/private-ai-agents-rag/", "summary": "Udvikling af private AI-assistenter gør godkendt viden lettere at finde uden at give alle samme adgang. Implementering af RAG til virksomheder forbinder en assistent med en klar videnskilde, kildehenvisninger, rettigheder og et grundlag for evaluering. Brugbare svar betyder mere end selvsikre gæt.", "scope": "Private AI Assistant / RAG Pilot: én assistent, én brugsklar videnskilde, ét interface, én cloudleverandør, op til to brugerroller og op til ti pilotbrugere. Agenthandlinger indgår kun, når de er beskrevet udtrykkeligt i det skriftlige omfang.", "deliverables": [ "Brugeridentitet og rettigheder kontrolleres før søgning; kunder og kilder adskilles i embeddings, vektordatabaser, caches og eksport.", "Afgrænsede værktøjer, kontrollerede skrivehandlinger, adskillelse af instruktioner fra upålideligt indhold samt tests af prompt injection og kildeforgiftning.", "Beskyttelse af hemmeligheder, begrænset logning af følsomt indhold, kildehenvisninger, regler for opbevaring og sletning, forbrugs- og omkostningskontrol, sikkerheds- og accepttests samt overdragelse." ], "clientResponsibilities": "Stil en videnskilde med nødvendige brugsrettigheder, korrekte brugerrettigheder og en pilotansvarlig til rådighed. Godkend databehandlingsvilkår, opbevaring, leverandører og lagringsregion før idriftsættelse. Valider piloten, før brugen udvides.", "exclusions": "Multi-cloud, fine-tuning, omfattende OCR, aftalt produktionsoppetid og WhatsApp Business er ikke inkluderet. Ekstra kanaler, dataklargøring og integrationer afgrænses særskilt.", "illustrativeAcceptanceCriteria": [ "Den aftalte test af et adgangsbegrænset dokument afviser søgning og kildeadgang for en rolle uden tilladelse.", "Aftalte spørgsmål med dokumentation henviser til tilladte kilder; et udokumenteret spørgsmål giver det definerede afslag eller overdragelse." ], "acceptanceCriteriaStatus": "Illustrative kontroller til forhandling. De er ikke gennemførte testresultater, nye kontraktløfter eller udvidelser af pakken. Det skriftlige tilbud fastlægger de faktiske acceptkriterier.", "questionsAndAnswers": [ { "q": "Hvad betyder privat her?", "a": "Adgang og datahåndtering afgrænses til din organisation. Projektet angiver, hvem der behandler indholdet, hvilke endpoints der modtager det, lagringsregion, leverandørernes vilkår for databrug og databehandleraftaler. Privat betyder ikke automatisk kun EU eller lokal drift." }, { "q": "Er hele AI-kæden ende-til-ende-krypteret?", "a": "Vi specificerer TLS under transport og kryptering af lagrede data efter arkitekturen. Vi kalder ikke hele vejen til en LLM ende-til-ende-krypteret uden dokumentation for det." }, { "q": "Hvad er en pilot med privat AI-assistent?", "a": "Én assistent, én klar videnskilde, én grænseflade, én cloududbyder, op til to brugerroller og op til ti pilotbrugere. En AI-chatbot til virksomheder eller dokumentassistent afgrænses ud fra virkelige spørgsmål." }, { "q": "Hvad beskytter sikker RAG-implementering?", "a": "Sikker RAG-implementering omfatter identitet, søgerettigheder og kildehåndtering i den aftalte arkitektur. Adgangsstyret søgning skal også tage højde for vektordatabaser, caches og eksport; kryptering alene fastlægger ikke rettigheder." }, { "q": "Kan vi bruge Azure, AWS eller Google Cloud?", "a": "En privat AI-assistent på Azure, en privat AI-assistent på AWS eller en privat AI-assistent på Google Cloud kan drøftes for den valgte arkitektur. Grundpiloten bruger én cloud; region, leverandørvilkår og opbevaring aftales før udrulning." }, { "q": "Kan agenten opdatere systemer?", "a": "Integration af AI-agentværktøjer indgår kun efter udtrykkelig aftale. AI-agenter med menneskeligt tilsyn har begrænsede rettigheder og godkendelse ved følsomme ændringer. Et hentet dokument eller modelsvar giver ikke handlingsautoritet." }, { "q": "Hvordan kontrolleres svarkvaliteten?", "a": "Evaluering af AI-assistenter bruger repræsentative spørgsmål, forventede underlag, kildekontrol, rettighedstests og afvisning af svar uden grundlag. RAG-evaluering understøtter en udrulningsbeslutning; den lover ikke korrekte svar hver gang." }, { "q": "Kan vi senere tilføje websitechat eller WhatsApp?", "a": "Integration af AI-chatbot på websites og WhatsApp AI-integration kræver særskilt omfang, platformadgang, databehandlingsvilkår og leverandøromkostninger. Piloten har én aftalt grænseflade, regler for dataopbevaring og overdragelsesdokumentation." } ] }, "sv": { "name": "Privata AI-assistenter, agenter & RAG", "url": "https://sundaibot.com/sv/tjanster/private-ai-agents-rag/", "summary": "Utveckling av privata AI-assistenter gör godkänd kunskap lättare att hitta utan att ge alla samma åtkomst. implementering av RAG för företag kopplar en assistent till en förberedd kunskapskälla, med källhänvisningar, behörigheter och ett underlag för utvärdering. Användbara svar betyder mer än självsäkra gissningar.", "scope": "Private AI Assistant / RAG Pilot: en assistent, en färdig kunskapskälla, ett gränssnitt, en molnleverantör, upp till två användarroller och upp till tio pilotanvändare. Agentåtgärder ingår bara om de uttryckligen beskrivs i den skriftliga omfattningen.", "deliverables": [ "Användaridentitet och behörigheter kontrolleras före sökning; kunder och källor separeras i embeddings, vektordatabaser, cache och export.", "Avgränsade verktyg, övervakade skrivåtgärder, separation av instruktioner från opålitligt innehåll samt tester av prompt injection och förgiftning av källor.", "Skydd av hemligheter, begränsad loggning av känsligt innehåll, källhänvisningar, regler för lagring och radering, förbruknings- och kostnadskontroll, säkerhets- och acceptanstester samt överlämning." ], "clientResponsibilities": "Tillhandahåll en kunskapskälla med nödvändiga användningsrättigheter, korrekta rollbehörigheter och en pilotansvarig. Godkänn databehandlingsvillkor, lagring, leverantörer och lagringsregion före driftsättning. Validera piloten innan användningen utökas.", "exclusions": "Multi-cloud, finjustering av modeller, omfattande OCR, avtalad tillgänglighet i produktion och WhatsApp Business ingår inte. Extra kanaler, databearbetning och integrationer avgränsas separat.", "illustrativeAcceptanceCriteria": [ "Det avtalade testet av ett begränsat dokument nekar informationshämtning och källåtkomst för en roll utan behörighet.", "Avtalade frågor med stöd i underlagen hänvisar till tillåtna källor; en fråga utan stöd ger definierat avböjande eller överlämning." ], "acceptanceCriteriaStatus": "Illustrativa kontroller att förhandla om. De är inte genomförda testresultat, nya avtalslöften eller tillägg till paketet. Den skriftliga offerten fastställer de faktiska acceptanskriterierna.", "questionsAndAnswers": [ { "q": "Vad betyder privat här?", "a": "Åtkomst och datahantering avgränsas för organisationen. Projektet anger vem som behandlar innehåll, vilka endpoints som tar emot det, lagringsregion, leverantörernas villkor för dataanvändning och personuppgiftsbiträdesavtal. Privat betyder inte automatiskt enbart EU eller lokal drift." }, { "q": "Är hela AI-kedjan totalsträckskrypterad?", "a": "Vi specificerar TLS under överföring och kryptering av lagrade data enligt arkitekturen. Vi beskriver inte hela vägen till en LLM som totalsträckskrypterad utan stöd för påståendet." }, { "q": "Vad är en pilot med privat AI-assistent?", "a": "En assistent, en förberedd kunskapskälla, ett gränssnitt, en molnleverantör, upp till två användarroller och upp till tio pilotanvändare. En AI-chattbot för företag eller dokumentassistent avgränsas utifrån verkliga frågor." }, { "q": "Vad skyddar säker RAG-implementering?", "a": "Säker RAG-implementering omfattar identitet, sökbehörigheter och källhantering i avtalad arkitektur. Åtkomststyrd sökning måste också hantera vektordatabaser, cache och export; kryptering ensam fastställer inte behörigheterna." }, { "q": "Kan vi använda Azure, AWS eller Google Cloud?", "a": "En privat AI-assistent på Azure, en privat AI-assistent på AWS eller en privat AI-assistent på Google Cloud kan diskuteras för vald arkitektur. Grundpiloten använder ett moln; region, leverantörsvillkor och lagring avtalas före utrullning." }, { "q": "Kan agenten uppdatera system?", "a": "Integration av AI-agentverktyg ingår bara när det uttryckligen avtalats. AI-agenter med mänsklig tillsyn använder begränsade behörigheter och godkännande vid känsliga ändringar. Ett hämtat dokument eller modellsvar ger inte handlingsmandat." }, { "q": "Hur granskas svarskvaliteten?", "a": "Utvärdering av AI-assistenter använder representativa frågor, förväntade underlag, källkontroll, behörighetstester och avvisning av svar utan underlag. RAG-utvärdering stödjer ett utrullningsbeslut; den lovar inte korrekta svar varje gång." }, { "q": "Kan vi lägga till webbchatt eller WhatsApp senare?", "a": "Integration av AI-chattbot på webbplatser och WhatsApp AI-integration kräver separat omfattning, plattformsåtkomst, databehandlingsvillkor och leverantörskostnader. Piloten har ett avtalat gränssnitt, regler för datalagring och överlämningsdokumentation." } ] } } }, { "id": "pentesting-red-teaming", "locales": { "en": { "name": "OSINT, Pentesting & Red Teaming", "url": "https://sundaibot.com/services/pentesting-red-teaming/", "summary": "Web application penetration testing looks at what an attacker can do inside the agreed boundaries. API penetration testing and manual security testing examine access, authorisation and business logic, then turn the findings into a fix list your team can work from. Written permission comes first.", "scope": "Scoped Web / API Pentest: one small web application, up to two roles and up to ten API endpoints. Focused manual testing with supporting automated review, a report, handover and one remediation verification within 30 days.", "deliverables": [ "Written scope, methodology, Rules of Engagement, targets, stop conditions and third-party restrictions before testing.", "Protected evidence, finding severity and business impact, test limitations and practical remediation guidance.", "Management summary, technical report, handover session and one verification of the included fixes within 30 days of delivery." ], "clientResponsibilities": "Provide written authorisation from the appropriate asset owner, a test environment or agreed production restrictions, test accounts and an emergency contact. You remain responsible for remediation and risk decisions.", "exclusions": "Complete code coverage is not promised. Extensive OSINT, organisation-wide red teaming, phishing, load testing and destructive testing are separately quoted. An automated scan alone is not a full pentest.", "illustrativeAcceptanceCriteria": [ "Any reported finding records an authorised target, proportionate reproduction evidence, severity and remediation guidance.", "The agreed verification records the status of included fixes within the authorised scope and the package’s 30-day window." ], "acceptanceCriteriaStatus": "Illustrative checks for negotiation. These are not completed test results, new contractual promises or additions to the package. The written proposal defines the actual acceptance criteria.", "questionsAndAnswers": [ { "q": "Can you test any website or third-party service?", "a": "No. Testing requires written authorisation, defined targets and Rules of Engagement. Third-party terms and permissions must allow the agreed tests; stop conditions apply throughout." }, { "q": "Can the scope cover AI and sensitive workflows?", "a": "Yes, where agreed. AI interfaces, permissions, configuration, code and APIs can be examined. Call documentation, care and sales systems also need checks of information restrictions and data flows." }, { "q": "What is the difference between a vulnerability scan and a pentest?", "a": "Vulnerability scan versus pentest is a useful buying distinction: a scan flags potential issues; a scoped pentest combines manual investigation with supporting tools and interprets findings in context. Automated output alone is not a complete pentest." }, { "q": "What does the initial web and API package cover?", "a": "One small web application, up to two roles and up to ten API endpoints, with a report, handover and one verification of included fixes within 30 days of delivery. The proposal states the exact targets and acceptance criteria." }, { "q": "How do you protect sensitive test evidence?", "a": "Secure pentest evidence handling uses limited, protected evidence needed to explain a finding. Access, sharing and retention are agreed for the assessment; live secrets and unnecessary personal data do not belong in a broadly circulated report." }, { "q": "Can we add OSINT and threat intelligence?", "a": "A separate passive OSINT assessment or cyber threat intelligence snapshot covers one organisation and up to three owned domains. It is distinct from intrusive testing and continuous monitoring. The scope and sources are agreed separately." }, { "q": "Is a red-team exercise included?", "a": "A scoped red team exercise is a separate engagement with its own objectives, authorisation and restrictions. Phishing, organisation-wide red teaming, load testing and destructive testing are not part of the entry web/API package." }, { "q": "What can a clean report actually tell us?", "a": "Penetration testing limitations matter: findings reflect the targets, methods and test period. A report supports a risk decision and remediation retesting; it cannot prove that every vulnerability has been found or establish complete compliance." } ] }, "da": { "name": "OSINT, penetrationstest & red teaming", "url": "https://sundaibot.com/da/ydelser/pentesting-red-teaming/", "summary": "Penetrationstest af webapplikationer undersøger, hvad en angriber kan gøre inden for aftalte rammer. Penetrationstest af API’er og manuel sikkerhedstest gennemgår adgang, autorisation og forretningslogik og giver teamet en liste over relevante rettelser. Skriftlig tilladelse kommer først.", "scope": "Scoped Web / API Pentest: én mindre webapplikation, op til to roller og op til ti API-endpoints. Fokuseret manuel test med understøttende automatiseret gennemgang, rapport, overdragelse og én kontrol af rettelser inden for 30 dage.", "deliverables": [ "Skriftligt omfang, metode, Rules of Engagement, mål, stopbetingelser og tredjepartsbegrænsninger før testen.", "Beskyttet dokumentation, fundenes alvor og forretningspåvirkning, testbegrænsninger og konkrete rettelsesforslag.", "Ledelsesresumé, teknisk rapport, overdragelsesmøde og én kontrol af de inkluderede rettelser inden for 30 dage efter levering." ], "clientResponsibilities": "Sørg for skriftlig tilladelse fra den relevante ejer, et testmiljø eller aftalte produktionsbegrænsninger, testkonti og en kontakt ved nødsituationer. I er ansvarlige for afhjælpning og risikobeslutninger.", "exclusions": "Der loves ikke dækning af al kode. Omfattende OSINT, red teaming på organisationsniveau, phishing, belastningstest og destruktive tests får særskilte tilbud. En automatiseret scanning alene er ikke en fuld penetrationstest.", "illustrativeAcceptanceCriteria": [ "Hvert rapporteret fund angiver et autoriseret mål, passende evidens for reproduktion, alvorlighed og vejledning til afhjælpning.", "Den aftalte kontrol dokumenterer status for inkluderede rettelser inden for autoriseret omfang og pakkens frist på 30 dage." ], "acceptanceCriteriaStatus": "Illustrative kontroller til forhandling. De er ikke gennemførte testresultater, nye kontraktløfter eller udvidelser af pakken. Det skriftlige tilbud fastlægger de faktiske acceptkriterier.", "questionsAndAnswers": [ { "q": "Kan I teste enhver hjemmeside eller tredjepartstjeneste?", "a": "Nej. Test kræver skriftlig tilladelse, definerede mål og Rules of Engagement. Tredjepartsvilkår og tilladelser skal omfatte de aftalte tests; stopbetingelser gælder under hele forløbet." }, { "q": "Kan testen omfatte AI og følsomme arbejdsgange?", "a": "Ja, når det er aftalt. AI-interfaces, rettigheder, konfiguration, kode og API’er kan undersøges. Systemer til samtaledokumentation, behandling og salg kræver også kontrol af informationsbegrænsning og datastrømme." }, { "q": "Hvad er forskellen på scanning og penetrationstest?", "a": "Sårbarhedsscanning kontra penetrationstest er en nyttig købsafklaring: scanning finder mulige problemer; en afgrænset pentest kombinerer manuel undersøgelse og værktøjer og fortolker fund i sammenhæng. Automatiseret output alene er ikke en fuld pentest." }, { "q": "Hvad omfatter startpakken for web og API?", "a": "Én lille webapplikation, op til to roller og op til ti API-endpoints med rapport, overdragelse og én kontrol af inkluderede rettelser inden 30 dage efter levering. Tilbuddet fastlægger mål og acceptkriterier." }, { "q": "Hvordan beskyttes følsom dokumentation?", "a": "Sikker håndtering af pentest-evidens bruger begrænset, beskyttet dokumentation til at forklare et fund. Adgang, deling og opbevaring aftales. Aktive hemmeligheder og unødvendige persondata hører ikke hjemme i en bredt delt rapport." }, { "q": "Kan vi tilføje OSINT og trusselsanalyse?", "a": "En separat passiv OSINT-vurdering eller afgrænset cybertrusselsanalyse omfatter én organisation og op til tre egne domæner. Det er adskilt fra indgribende test og løbende overvågning. Omfang og kilder aftales særskilt." }, { "q": "Er en red team-øvelse inkluderet?", "a": "En afgrænset red team-øvelse er en separat opgave med egne mål, tilladelser og restriktioner. Phishing, organisationsdækkende red teaming, belastningstest og destruktiv test indgår ikke i startpakken." }, { "q": "Hvad fortæller en rapport uden fund?", "a": "Begrænsninger ved penetrationstest er vigtige: fund afspejler mål, metode og testperiode. Rapporten understøtter risikobeslutninger og gentest; den beviser ikke, at alle sårbarheder er fundet, eller at alle regler er overholdt." } ] }, "sv": { "name": "OSINT, penetrationstest & red teaming", "url": "https://sundaibot.com/sv/tjanster/pentesting-red-teaming/", "summary": "Penetrationstestning av webbapplikationer granskar vad en angripare kan göra inom avtalade ramar. Penetrationstestning av API:er och manuell säkerhetstestning granskar åtkomst, auktorisering och affärslogik och ger teamet en användbar åtgärdslista. Skriftligt tillstånd kommer först.", "scope": "Scoped Web / API Pentest: en mindre webbapplikation, upp till två roller och upp till tio API-endpoints. Fokuserad manuell testning med stödjande automatiserad granskning, rapport, överlämning och en verifiering av rättningar inom 30 dagar.", "deliverables": [ "Skriftlig omfattning, metod, Rules of Engagement, mål, stoppvillkor och tredjepartsbegränsningar före testet.", "Skyddade underlag, fyndens allvar och verksamhetspåverkan, testbegränsningar och praktiska åtgärdsförslag.", "Ledningssammanfattning, teknisk rapport, överlämningsmöte och en verifiering av de inkluderade rättningarna inom 30 dagar efter leverans." ], "clientResponsibilities": "Ordna skriftligt tillstånd från rätt tillgångsägare, en testmiljö eller avtalade produktionsbegränsningar, testkonton och en kontakt vid nödsituationer. Ni ansvarar för åtgärder och riskbeslut.", "exclusions": "Fullständig kodtäckning utlovas inte. Omfattande OSINT, red teaming på organisationsnivå, nätfiske, belastningstest och destruktiva tester offereras separat. En automatiserad skanning ensam är inte ett fullständigt penetrationstest.", "illustrativeAcceptanceCriteria": [ "Varje rapporterat fynd anger ett auktoriserat mål, proportionerligt underlag för reproduktion, allvarlighetsgrad och åtgärdsvägledning.", "Den avtalade kontrollen dokumenterar status för inkluderade rättningar inom auktoriserad omfattning och paketets tidsfönster på 30 dagar." ], "acceptanceCriteriaStatus": "Illustrativa kontroller att förhandla om. De är inte genomförda testresultat, nya avtalslöften eller tillägg till paketet. Den skriftliga offerten fastställer de faktiska acceptanskriterierna.", "questionsAndAnswers": [ { "q": "Kan ni testa vilken webbplats eller tredjepartstjänst som helst?", "a": "Nej. Testning kräver skriftligt tillstånd, definierade mål och Rules of Engagement. Tredjepartsvillkor och tillstånd måste tillåta de avtalade testerna. Stoppvillkor gäller under hela uppdraget." }, { "q": "Kan testet omfatta AI och känsliga arbetsflöden?", "a": "Ja, när det är avtalat. AI-gränssnitt, behörigheter, konfiguration, kod och API:er kan undersökas. System för samtalsdokumentation, vård och försäljning behöver även kontroll av informationsbegränsning och dataflöden." }, { "q": "Vad skiljer skanning från penetrationstestning?", "a": "Sårbarhetsskanning kontra penetrationstestning är en användbar köparfråga: skanning visar möjliga problem; en avgränsad pentest kombinerar manuell granskning och verktyg och tolkar fynd i sitt sammanhang. Automatiserad utdata ensam är ingen fullständig pentest." }, { "q": "Vad omfattar startpaketet för webb och API?", "a": "En liten webbapplikation, upp till två roller och upp till tio API-endpoints, med rapport, överlämning och en kontroll av inkluderade rättningar inom 30 dagar efter leverans. Offerten fastställer mål och acceptanskriterier." }, { "q": "Hur skyddas känsliga testunderlag?", "a": "Säker hantering av pentestunderlag använder begränsad, skyddad dokumentation för att förklara ett fynd. Åtkomst, delning och lagring avtalas. Aktiva hemligheter och onödiga personuppgifter hör inte hemma i en brett delad rapport." }, { "q": "Kan vi lägga till OSINT och hotanalys?", "a": "En separat passiv OSINT-bedömning eller avgränsad cyberhotanalys omfattar en organisation och upp till tre egna domäner. Det skiljer sig från inträngande testning och löpande övervakning. Omfattning och källor avtalas separat." }, { "q": "Ingår en red team-övning?", "a": "En avgränsad red team-övning är ett separat uppdrag med egna mål, tillstånd och begränsningar. Nätfiske, organisationsövergripande red teaming, belastningstestning och destruktiv testning ingår inte i startpaketet." }, { "q": "Vad säger en rapport utan fynd?", "a": "Begränsningar vid penetrationstestning spelar roll: fynd speglar mål, metod och testperiod. Rapporten stödjer riskbeslut och omtestning; den bevisar inte att alla sårbarheter hittats eller att alla regler följs." } ] } } }, { "id": "devsecops", "locales": { "en": { "name": "DevSecOps & Secure Delivery Pipelines", "url": "https://sundaibot.com/services/devsecops/", "summary": "DevSecOps consulting puts useful checks where your team already works. Secure CI/CD pipelines connect code review, identity and release decisions, so a fast delivery process has boundaries your engineers can explain. Start with one repository, one pipeline and one deployment target.", "scope": "DevSecOps Foundation: one repository, one pipeline, one deployment target and up to two environments. The entry package covers the stated controls; additional checks and supply-chain features must be explicitly included in the agreement.", "deliverables": [ "Focused threat model, SAST, software composition analysis (SCA) and secret scanning.", "Least-privilege pipeline identities, environment separation and OIDC or short-lived credentials where supported.", "Release approvals, rollback guidance, acceptance checks, documentation and handover." ], "clientResponsibilities": "Provide authorised repository and deployment access, a technical owner and suitable test environments. Agree release gates, exception handling and rollback approval. Your team owns ongoing pipeline operation after handover.", "exclusions": "An organisation-wide development-platform migration is excluded. DAST requires a suitable environment; container and IaC checks, SBOM, signing and provenance are included only where agreed. External tooling and licence costs are separately approved.", "illustrativeAcceptanceCriteria": [ "An agreed test change exercises a release gate and records the expected block, approval or authorised exception.", "Deployment identity permissions and the documented rollback steps are reviewed against the agreed target and environments." ], "acceptanceCriteriaStatus": "Illustrative checks for negotiation. These are not completed test results, new contractual promises or additions to the package. The written proposal defines the actual acceptance criteria.", "questionsAndAnswers": [ { "q": "Will checks block every insecure change?", "a": "No. Automated checks have limitations. We agree gate behaviour, severity thresholds and exception ownership; human review and maintenance remain necessary." }, { "q": "Does a training certificate prove production delivery?", "a": "No. Training, a configured repository and verified production experience are different evidence. Tools are offered only when the assigned practitioner has the relevant capability." }, { "q": "What is SAST versus SCA?", "a": "SAST versus SCA describes different checks: static application security testing examines code patterns; software composition analysis examines third-party dependencies and known issues. They complement secret scanning and human review; none guarantees detection of every problem." }, { "q": "What does the DevSecOps Foundation include?", "a": "One repository, one pipeline, one deployment target and up to two environments. The written agreement defines checks, restricted identities, approvals, rollback guidance and acceptance tests. Tool licences and wider migrations are separate." }, { "q": "How do security release gates work?", "a": "We agree severity thresholds, what blocks a release and who can approve exceptions. Security gate exception handling records the reason and owner. A passing automated check does not replace review of the actual change." }, { "q": "Can we add DAST or container checks?", "a": "DAST integration needs a suitable test environment. Container image security scanning and infrastructure-as-code security checks are included only when explicitly agreed and supported by the target environment." }, { "q": "Can you add SBOM, signing and provenance?", "a": "Software bill of materials setup records software components. Build signing and provenance provide agreed evidence about artefacts and their origin. These are separately specified supply-chain controls, rather than automatic features of the entry package." }, { "q": "What happens after handover?", "a": "Your team owns ongoing operation and maintenance. We hand over the configured checks, deployment approval workflow and secure deployment rollback plan, with agreed acceptance evidence. Further support needs its own scope." } ] }, "da": { "name": "DevSecOps & sikre leverancepipelines", "url": "https://sundaibot.com/da/ydelser/devsecops/", "summary": "DevSecOps-rådgivning placerer brugbare kontroller i teamets eksisterende arbejde. Sikre CI/CD-pipelines forbinder kodegennemgang, identitet og releasebeslutninger, så en hurtig leveringsproces har rammer, udviklerne kan forklare. Start med ét repository, én pipeline og ét deploymentmål.", "scope": "DevSecOps Foundation: ét repository, én pipeline, ét deploymentmål og op til to miljøer. Startpakken omfatter de angivne kontroller; yderligere tests og softwareforsyningskædefunktioner skal fremgå udtrykkeligt af aftalen.", "deliverables": [ "Fokuseret trusselsmodel, SAST, analyse af softwareafhængigheder (SCA) og scanning for hemmeligheder.", "Pipelineidentiteter med mindst mulige rettigheder, adskilte miljøer og OIDC eller kortlivede credentials, hvor det understøttes.", "Releasegodkendelser, rollbackvejledning, acceptkontroller, dokumentation og overdragelse." ], "clientResponsibilities": "Stil autoriseret repository- og deploymentadgang, en teknisk ansvarlig og egnede testmiljøer til rådighed. Aftal releasekrav, undtagelser og rollbackgodkendelse. Teamet er ansvarligt for den løbende pipeline efter overdragelsen.", "exclusions": "Migration af hele organisationens udviklingsplatform er ikke inkluderet. DAST kræver et egnet miljø; container- og IaC-kontroller, SBOM, signering og provenance indgår kun efter aftale. Eksterne værktøjer og licenser godkendes særskilt.", "illustrativeAcceptanceCriteria": [ "En aftalt testændring afprøver en releasekontrol og dokumenterer forventet blokering, godkendelse eller autoriseret undtagelse.", "Deployment-identitetens rettigheder og dokumenterede rollback-trin gennemgås i forhold til aftalt mål og miljøer." ], "acceptanceCriteriaStatus": "Illustrative kontroller til forhandling. De er ikke gennemførte testresultater, nye kontraktløfter eller udvidelser af pakken. Det skriftlige tilbud fastlægger de faktiske acceptkriterier.", "questionsAndAnswers": [ { "q": "Stopper kontrollerne alle usikre ændringer?", "a": "Nej. Automatiske kontroller har begrænsninger. Vi aftaler blokeringsadfærd, alvorstærskler og ansvar for undtagelser. Menneskelig gennemgang og vedligeholdelse er fortsat nødvendige." }, { "q": "Dokumenterer et kursusbevis levering i produktion?", "a": "Nej. Uddannelse, et konfigureret repository og verificeret produktionserfaring er forskellige typer evidens. Værktøjer tilbydes kun, når den tilknyttede fagperson har relevante kompetencer." }, { "q": "Hvad betyder SAST kontra SCA?", "a": "SAST kontra SCA beskriver forskellige kontroller: statisk applikationssikkerhedstest undersøger kodemønstre; software composition analysis undersøger tredjepartsafhængigheder og kendte problemer. De supplerer hemmelighedsscanning og menneskelig gennemgang uden at finde alt." }, { "q": "Hvad omfatter DevSecOps Foundation?", "a": "Ét repository, én pipeline, ét deploymentmål og op til to miljøer. Aftalen fastlægger kontroller, begrænsede identiteter, godkendelser, rollback-vejledning og accepttests. Licenser og større migreringer er separate." }, { "q": "Hvordan fungerer sikkerhedsgates ved releases?", "a": "Vi aftaler alvorlighedsgrænser, hvad der blokerer, og hvem der kan godkende undtagelser. Håndtering af undtagelser i sikkerhedsgates dokumenterer årsag og ejer. En godkendt automatisk kontrol erstatter ikke gennemgang af ændringen." }, { "q": "Kan vi tilføje DAST og containerkontroller?", "a": "Integration af DAST kræver et egnet testmiljø. Sikkerhedsscanning af container-images og sikkerhedskontrol af infrastructure as code indgår kun efter udtrykkelig aftale og med et egnet målmiljø." }, { "q": "Kan I tilføje SBOM, signering og proveniens?", "a": "Opsætning af softwarestykliste registrerer softwarekomponenter. Signering og sporbar oprindelse af builds giver aftalt dokumentation om artefakter og oprindelse. De er særskilt specificerede forsyningskædekontroller, ikke automatiske dele af startpakken." }, { "q": "Hvad sker der efter overdragelsen?", "a": "Teamet ejer løbende drift og vedligeholdelse. Vi overdrager kontroller, arbejdsgang til godkendelse af deployment og rollback-plan for sikker deployment med aftalt dokumentation fra accepttests. Yderligere support afgrænses særskilt." } ] }, "sv": { "name": "DevSecOps & säkra leveranspipelines", "url": "https://sundaibot.com/sv/tjanster/devsecops/", "summary": "DevSecOps-rådgivning placerar användbara kontroller i teamets befintliga arbete. Säkra CI/CD-pipelines kopplar kodgranskning, identitet och releasebeslut, så en snabb leveransprocess får ramar utvecklarna kan förklara. Börja med ett repository, en pipeline och ett driftsättningsmål.", "scope": "DevSecOps Foundation: ett repository, en pipeline, ett driftsättningsmål och upp till två miljöer. Startpaketet omfattar angivna kontroller; ytterligare tester och funktioner för programvaruförsörjningskedjan måste uttryckligen ingå i avtalet.", "deliverables": [ "Fokuserad hotmodell, SAST, analys av programvaruberoenden (SCA) och skanning efter hemligheter.", "Pipelineidentiteter med minsta möjliga behörighet, separerade miljöer och OIDC eller kortlivade autentiseringsuppgifter där det stöds.", "Releasegodkännanden, rollbackvägledning, acceptanskontroller, dokumentation och överlämning." ], "clientResponsibilities": "Tillhandahåll auktoriserad åtkomst till repository och driftsättning, en teknisk ansvarig och lämpliga testmiljöer. Avtala releasekrav, undantagshantering och godkännande av rollback. Teamet ansvarar för löpande pipelinedrift efter överlämningen.", "exclusions": "Migration av hela organisationens utvecklingsplattform ingår inte. DAST kräver en lämplig miljö; container- och IaC-kontroller, SBOM, signering och provenance ingår bara efter överenskommelse. Externa verktyg och licenser godkänns separat.", "illustrativeAcceptanceCriteria": [ "En avtalad teständring prövar en releasekontroll och dokumenterar förväntad blockering, godkännande eller auktoriserat undantag.", "Driftsättningsidentitetens behörigheter och dokumenterade återställningssteg granskas mot avtalat mål och avtalade miljöer." ], "acceptanceCriteriaStatus": "Illustrativa kontroller att förhandla om. De är inte genomförda testresultat, nya avtalslöften eller tillägg till paketet. Den skriftliga offerten fastställer de faktiska acceptanskriterierna.", "questionsAndAnswers": [ { "q": "Stoppar kontrollerna alla osäkra ändringar?", "a": "Nej. Automatiska kontroller har begränsningar. Vi avtalar blockeringsbeteende, allvarlighetsnivåer och ansvar för undantag. Mänsklig granskning och underhåll behövs fortfarande." }, { "q": "Visar ett kursintyg förmåga att leverera i produktion?", "a": "Nej. Utbildning, ett konfigurerat repository och verifierad produktionserfarenhet är olika slags underlag. Verktyg erbjuds endast när den tilldelade yrkespersonen har relevant kompetens." }, { "q": "Vad innebär SAST kontra SCA?", "a": "SAST kontra SCA beskriver olika kontroller: statisk applikationssäkerhetstestning granskar kodmönster; software composition analysis granskar tredjepartsberoenden och kända problem. De kompletterar hemlighetsskanning och mänsklig granskning utan att hitta allt." }, { "q": "Vad omfattar DevSecOps Foundation?", "a": "Ett repository, en pipeline, ett driftsättningsmål och upp till två miljöer. Avtalet fastställer kontroller, begränsade identiteter, godkännanden, återställningsvägledning och acceptanstester. Licenser och större migreringar är separata." }, { "q": "Hur fungerar säkerhetskontroller inför releaser?", "a": "Vi avtalar allvarlighetsgränser, vad som blockerar och vem som får godkänna undantag. Hantering av undantag från säkerhetskontroller dokumenterar orsak och ägare. En godkänd automatisk kontroll ersätter inte granskning av ändringen." }, { "q": "Kan vi lägga till DAST och containerkontroller?", "a": "Integration av DAST kräver en lämplig testmiljö. Säkerhetsskanning av containeravbilder och säkerhetskontroller för infrastruktur som kod ingår bara efter uttryckligt avtal och med en lämplig målmiljö." }, { "q": "Kan ni lägga till SBOM, signering och proveniens?", "a": "Konfigurering av programvaruförteckning registrerar programvarukomponenter. Signering och spårbart ursprung för byggen ger avtalade underlag om artefakter och ursprung. Det är särskilt specificerade leveranskedjekontroller, inga automatiska delar av startpaketet." }, { "q": "Vad händer efter överlämningen?", "a": "Teamet äger löpande drift och underhåll. Vi lämnar över kontroller, arbetsflöde för godkännande av driftsättning och återställningsplan för säker driftsättning med avtalade acceptansunderlag. Ytterligare stöd avgränsas separat." } ] } } }, { "id": "cloud-security", "locales": { "en": { "name": "Cloud Security Engineering, Automation & Maintenance", "url": "https://sundaibot.com/services/cloud-security/", "summary": "A cloud security assessment starts with who can do what, and whether the team can see it. A cloud IAM review and privileged access review help turn unexplained permissions into a manageable foundation. We select one provider, agree authorised changes and hand over a treatment plan.", "scope": "Cloud IAM & Security Foundation: one subscription, account or project, up to ten identities and up to ten selected resources. Provider, licensing, authorised changes and acceptance criteria are agreed in advance.", "deliverables": [ "Permission map and least-privilege review for selected identities and resources, including workload identities and secrets within scope.", "MFA and privileged-access baseline subject to licensing, audit logging and up to five alert rules.", "Emergency-access procedure, scoped backup/recovery configuration review, treatment plan, documentation and handover." ], "clientResponsibilities": "Provide authorised access, a reliable asset inventory and a change approver. Confirm licensing, emergency contacts and recovery requirements. Approve tested changes and retain ownership of ongoing cloud operations.", "exclusions": "A complete SOC and organisation-wide infrastructure coverage are excluded. Multi-cloud, wider migrations and incident-response retainers need separate scope. No 24/7 SOC, emergency availability or response-time SLA is promised by this package.", "illustrativeAcceptanceCriteria": [ "An agreed role change is checked for authorised access and excessive permissions before approved activation.", "An agreed test event reaches the designated audit log or alert route; emergency-access instructions identify ownership and approval." ], "acceptanceCriteriaStatus": "Illustrative checks for negotiation. These are not completed test results, new contractual promises or additions to the package. The written proposal defines the actual acceptance criteria.", "questionsAndAnswers": [ { "q": "Which Azure controls can you review?", "a": "A Microsoft Entra ID security review and Azure RBAC permissions review can examine agreed identities and resources. A Conditional Access baseline or Microsoft Entra PIM configuration review depends on licences, authorised changes and the selected scope." }, { "q": "Which AWS controls can you review?", "a": "An AWS IAM policy review looks at agreed policies and roles. An AWS IAM Identity Center review can examine workforce access within scope. STS and permission boundaries are considered where relevant; your team approves changes before activation." }, { "q": "Which Google Cloud controls can you review?", "a": "A Google Cloud IAM policy review can examine selected roles, bindings and conditions. A Google Cloud Privileged Access Manager review addresses agreed privileged-access controls. PIM and PAM are privilege-management services, not alternative names for RBAC." }, { "q": "What is included in monthly cloud security maintenance?", "a": "Monthly cloud security maintenance is a separately agreed service: scheduled permission and configuration checks, alert review, small changes and a report, within up to six working hours per month against an agreed backlog. Extra work requires an approved extension." }, { "q": "Does the package include emergency incident response?", "a": "No default on-call cover or 24/7 SOC is included. Initial evidence collection or specialist handoff may be agreed subject to availability. A response-time commitment needs suitable staffing, a separate on-call agreement and an SLA." }, { "q": "What access and decisions do you need from us?", "a": "Provide authorised access, an accurate asset inventory, a technical owner and a change approver. Agree licences, emergency contacts and recovery requirements. We scope the cloud IAM review and acceptance checks before work starts." } ] }, "da": { "name": "Cloudsikkerhed, automatisering & vedligeholdelse", "url": "https://sundaibot.com/da/ydelser/cloud-security/", "summary": "En vurdering af cloudsikkerhed begynder med, hvem der kan gøre hvad, og om teamet kan se det. En gennemgang af cloud-IAM og en gennemgang af privilegeret adgang gør uklare rettigheder lettere at håndtere. Vi vælger én udbyder, aftaler ændringer og overdrager en behandlingsplan.", "scope": "Cloud IAM & Security Foundation: ét abonnement, én konto eller ét projekt, op til ti identiteter og op til ti udvalgte ressourcer. Leverandør, licenser, tilladte ændringer og acceptkriterier aftales på forhånd.", "deliverables": [ "Rettighedskort og gennemgang af mindst mulige rettigheder for udvalgte identiteter og ressourcer, inklusive workloadidentiteter og hemmeligheder inden for omfanget.", "Grundlag for MFA og privilegeret adgang efter licensmuligheder, revisionslogs og op til fem alarmregler.", "Procedure for nødadgang, afgrænset gennemgang af backup- og gendannelseskonfiguration, behandlingsplan, dokumentation og overdragelse." ], "clientResponsibilities": "Stil autoriseret adgang, en pålidelig ressourceoversigt og en ændringsansvarlig til rådighed. Bekræft licenser, nødkontakter og gendannelseskrav. Godkend testede ændringer, og behold ansvaret for den løbende clouddrift.", "exclusions": "Et komplet SOC og dækning af hele organisationens infrastruktur er ikke inkluderet. Multi-cloud, større migreringer og beredskabsaftaler kræver særskilt omfang. Pakken lover ikke SOC døgnet rundt, akut tilgængelighed eller en SLA for responstid.", "illustrativeAcceptanceCriteria": [ "En aftalt rolleændring kontrolleres for autoriseret adgang og for omfattende rettigheder før godkendt aktivering.", "En aftalt testhændelse når den udpegede revisionslog eller alarmkanal; nødadgangsvejledningen angiver ansvar og godkendelse." ], "acceptanceCriteriaStatus": "Illustrative kontroller til forhandling. De er ikke gennemførte testresultater, nye kontraktløfter eller udvidelser af pakken. Det skriftlige tilbud fastlægger de faktiske acceptkriterier.", "questionsAndAnswers": [ { "q": "Hvilke Azure-kontroller kan I gennemgå?", "a": "En sikkerhedsgennemgang af Microsoft Entra ID og en gennemgang af Azure RBAC-rettigheder kan undersøge aftalte identiteter og ressourcer. En baseline for Conditional Access eller en gennemgang af Microsoft Entra PIM-konfiguration afhænger af licenser, tilladelser og omfang." }, { "q": "Hvilke AWS-kontroller kan I gennemgå?", "a": "En gennemgang af AWS IAM-politikker undersøger aftalte politikker og roller. En gennemgang af AWS IAM Identity Center kan undersøge medarbejderadgang i omfanget. STS og rettighedsgrænser overvejes, hvor relevant; teamet godkender ændringer før aktivering." }, { "q": "Hvilke Google Cloud-kontroller kan I gennemgå?", "a": "En gennemgang af Google Cloud IAM-politikker kan undersøge valgte roller, bindinger og betingelser. En gennemgang af Google Cloud Privileged Access Manager omfatter aftalte privilegiekontroller. PIM og PAM er tjenester til privilegeret adgang, ikke andre navne for RBAC." }, { "q": "Hvad omfatter månedlig vedligeholdelse af cloudsikkerhed?", "a": "Månedlig vedligeholdelse af cloudsikkerhed er en særskilt aftalt ydelse: planlagte rettigheds- og konfigurationstjek, alarmgennemgang, små ændringer og en rapport inden for op til seks arbejdstimer om måneden på en aftalt backlog. Ekstra arbejde kræver godkendt udvidelse." }, { "q": "Omfatter pakken akut hændelseshåndtering?", "a": "Ingen automatisk vagtordning eller 24/7 SOC indgår. Indledende evidensindsamling eller specialistoverdragelse kan aftales afhængigt af kapacitet. En svartidsgaranti kræver bemanding, en særskilt vagtaftale og en SLA." }, { "q": "Hvilken adgang og hvilke beslutninger skal I bruge?", "a": "Stil autoriseret adgang, korrekt aktivoversigt, teknisk ejer og ændringsgodkender til rådighed. Aftal licenser, nødkontakter og recoverykrav. Vi afgrænser gennemgang af cloud-IAM og acceptkriterier før opgavestart." } ] }, "sv": { "name": "Molnsäkerhet, automatisering & underhåll", "url": "https://sundaibot.com/sv/tjanster/cloud-security/", "summary": "En bedömning av molnsäkerhet börjar med vem som kan göra vad, och om teamet kan se det. En granskning av moln-IAM och en granskning av privilegierad åtkomst gör oklara behörigheter hanterbara. Vi väljer en leverantör, avtalar ändringar och lämnar över en åtgärdsplan.", "scope": "Cloud IAM & Security Foundation: en prenumeration, ett konto eller ett projekt, upp till tio identiteter och upp till tio valda resurser. Leverantör, licenser, tillåtna ändringar och acceptanskriterier avtalas i förväg.", "deliverables": [ "Behörighetskarta och granskning av minsta möjliga behörighet för valda identiteter och resurser, inklusive workloadidentiteter och hemligheter inom omfattningen.", "Grund för MFA och privilegierad åtkomst enligt licensmöjligheter, granskningsloggar och upp till fem larmregler.", "Rutiner för nödåtkomst, avgränsad granskning av backup- och återställningskonfiguration, åtgärdsplan, dokumentation och överlämning." ], "clientResponsibilities": "Tillhandahåll auktoriserad åtkomst, en tillförlitlig resursinventering och en person som godkänner ändringar. Bekräfta licenser, nödkontakter och återställningskrav. Godkänn testade ändringar och behåll ansvaret för löpande molndrift.", "exclusions": "Ett fullständigt SOC och täckning av organisationens hela infrastruktur ingår inte. Multi-cloud, större migreringar och incidentberedskap kräver separat omfattning. Paketet utlovar inte SOC dygnet runt, akut tillgänglighet eller en SLA för svarstid.", "illustrativeAcceptanceCriteria": [ "En avtalad rolländring kontrolleras för auktoriserad åtkomst och överdrivna behörigheter före godkänd aktivering.", "En avtalad testhändelse når angiven granskningslogg eller larmkanal; nödåtkomstinstruktionen anger ansvar och godkännande." ], "acceptanceCriteriaStatus": "Illustrativa kontroller att förhandla om. De är inte genomförda testresultat, nya avtalslöften eller tillägg till paketet. Den skriftliga offerten fastställer de faktiska acceptanskriterierna.", "questionsAndAnswers": [ { "q": "Vilka Azure-kontroller kan ni granska?", "a": "En säkerhetsgranskning av Microsoft Entra ID och en granskning av Azure RBAC-behörigheter kan granska avtalade identiteter och resurser. En grundnivå för Conditional Access eller en granskning av Microsoft Entra PIM-konfiguration beror på licenser, tillstånd och omfattning." }, { "q": "Vilka AWS-kontroller kan ni granska?", "a": "En granskning av AWS IAM-policyer granskar avtalade policyer och roller. En granskning av AWS IAM Identity Center kan undersöka personalåtkomst inom omfattningen. STS och behörighetsgränser övervägs där relevant; teamet godkänner ändringar före aktivering." }, { "q": "Vilka Google Cloud-kontroller kan ni granska?", "a": "En granskning av Google Cloud IAM-policyer kan undersöka valda roller, bindningar och villkor. En granskning av Google Cloud Privileged Access Manager omfattar avtalade privilegiekontroller. PIM och PAM hanterar privilegierad åtkomst; de är inte andra namn för RBAC." }, { "q": "Vad omfattar månatligt underhåll av molnsäkerhet?", "a": "Månatligt underhåll av molnsäkerhet är en separat avtalad tjänst: planerade behörighets- och konfigurationskontroller, larmgranskning, små ändringar och en rapport inom upp till sex arbetstimmar per månad mot en avtalad backlog. Extra arbete kräver godkänd utökning." }, { "q": "Omfattar paketet akut incidenthantering?", "a": "Ingen automatisk jour eller 24/7 SOC ingår. Inledande insamling av underlag eller specialistöverlämning kan avtalas beroende på tillgänglighet. Ett svarstidsåtagande kräver bemanning, ett separat jouravtal och en SLA." }, { "q": "Vilken åtkomst och vilka beslut behöver ni?", "a": "Tillhandahåll auktoriserad åtkomst, korrekt tillgångsförteckning, teknisk ägare och ändringsgodkännare. Avtala licenser, nödkontakter och återhämtningskrav. Vi avgränsar granskning av moln-IAM och acceptanskriterier före uppdraget." } ] } } } ], "entryReview": { "url": "https://sundaibot.com/ai-decision-review/", "price": 490, "currency": "EUR", "scope": "One AI decision; 45-minute discussion and 3–5-page memo. Applicable VAT, scope and timing confirmed before acceptance." }, "leadResources": { "guides": "https://sundaibot.com/free-guides/", "selfAssessment": "https://sundaibot.com/ai-security-check/", "customerFeedback": "https://sundaibot.com/customer-scenarios/" }, "commercialModel": "Core services use tailored proposals. A separate AI Decision Review costs EUR 490; applicable VAT is confirmed before acceptance.", "contact": "https://sundaibot.com/book/", "bookingStatus": "Meeting requests await personal confirmation.", "technologyRelationships": "Technology references do not imply official partnerships.", "scopeBoundary": "Readiness advice is distinct from certification, legal advice and assurance reports." }