Fasada bezpieczeństwa? Startup Delve pod ostrzałem za generowanie „fikcyjnej zgodności”

Rynek technologii compliance (RegTech) opiera się na jednym kluczowym fundamencie: zaufaniu. To zaufanie zostało jednak wystawione na ciężką próbę po publikacji anonimowych oskarżeń wymierzonych w Delve – startup, który w ubiegłym roku pozyskał 32 miliony dolarów w rundzie finansowania serii A. Według relacji byłego klienta operującego pod pseudonimem „DeepDelver”, obietnica błyskawicznego uzyskania certyfikatów zgodności była realizowana poprzez mechanizm, który autor tekstu nazywa strukturalnym oszustwem.

Automatyzacja czy fabrykacja?

Główny zarzut dotyczy sposobu, w jaki Delve generuje dowody niezbędne do audytów bezpieczeństwa. System miał dostarczać klientom gotowe szablony opisujące spotkania zarządu, testy systemowe i wewnętrzne procedury, które w rzeczywistości nigdy się nie odbyły. Klienci rzekomo stawali przed dylematem: albo zaakceptować „sfabrykowane dowody” i cieszyć się statusem 100% zgodności, albo podjąć żmudną, ręczną pracę, której rzekomo nowoczesna platforma AI miała im oszczędzić.

Krytyka uderza również w sam model weryfikacji. Zgodnie z oskarżeniem, większość klientów Delve przechodziła przez procesy realizowane przez dwie konkretne firmy audytorskie – Accorp i Gradient. DeepDelver sugeruje, że podmioty te działają de facto jako „maszynki do pieczątek”, zatwierdzając raporty przygotowane przez samo Delve bez faktycznej, niezależnej kontroli. W takim układzie startup pełniłby rolę zarówno wykonawcy, jak i egzaminatora, co stoi w sprzeczności z elementarnymi zasadami audytu technologicznego.

Linia obrony startupu

Zarząd Delve nie zwlekał z odpowiedzią, publikując oświadczenie na swoim blogu. Firma kategorycznie zaprzecza oskarżeniom o fałszerstwa, nazywając post na Substacku „wprowadzającym w błąd”. Przedstawiciele startupu tłumaczą, że ich platforma jest jedynie narzędziem do automatyzacji, które gromadzi dane i udostępnia je audytorom, ale nie wydaje samych raportów. Według nich sporne dokumenty to po prostu szablony mające pomóc zespołom w dokumentowaniu procedur, a nie „pre-wypełnione dowody”.

W odpowiedzi na zarzuty dotyczące współpracy z wybranymi audytorami, Delve podkreśla, że klienci mają pełną swobodę w wyborze licencjonowanych firm zewnętrznych, a podmioty wymienione w oskarżeniu są uznanymi graczami na rynku, obsługującymi również inne platformy compliance. Startup zadeklarował również wszczęcie wewnętrznego dochodzenia w sprawie ewentualnych wycieków danych, o których wspominał autor anonimowego donosu.

Gra o wysoką stawkę

Sprawa Delve rzuca światło na szerszy problem w branży SaaS. W pogoni za szybkim „wyklikananiem” certyfikatów takich jak SOC2 czy ISO 27001, firmy technologiczne mogą nieświadomie wpadać w pułapkę pozornego bezpieczeństwa. Jeśli zarzuty o „fake compliance” się potwierdzą, konsekwencje mogą być druzgocące nie tylko dla Delve, ale przede wszystkim dla ich klientów. Podmioty operujące danymi medycznymi (HIPAA) lub danymi obywateli UE (RODO) mogą stanąć przed widmem kar finansowych liczonych w milionach euro oraz odpowiedzialności karnej, jeśli ich poświadczenia bezpieczeństwa okażą się jedynie wydmuszką.

Na ten moment sytuacja pozostaje patowa – Delve broni swojego modelu biznesowego, a środowisko technologiczne z rosnącym sceptycyzmem przygląda się obietnicom „błyskawicznej i bezbolesnej” certyfikacji. Incydent ten jest jednak jasnym sygnałem dla dyrektorów ds. bezpieczeństwa: automatyzacja procesów nigdy nie powinna zwalniać z obowiązku rzetelnej weryfikacji tego, co znajduje się pod maską kupowanego oprogramowania.