The first company, when I started, didn't even hit $10M ARR

… 第一家公司在我开始的时候，甚至没有达到1000万美元的年度经常性收入（ARR）。至少第一次审计就花了我们15万美元（第二年上涨到了25万美元）。我将他们的工作负载从数据中心的一个机架迁移到了AWS GovCloud，并实施了所有的FedRAMP安全控制措施。这个FedRAMP实例每年可能花费我们15万美元，再加上每年约25万美元的额外薪资。我们大量依赖免费的开源软件，但确实有一些工具我更希望购买。大部分的控制措施应该已经启用，只有少数几项“花费”了我们一些成本。我现在所在的公司规模要大得多。我们是一家网络安全SaaS公司，我们自己也践行所倡导的。我们的FedRAMP审计一直进行得非常顺利。只需进行最少的更改就能满足所有安全控制要求。当然，我们100%基于云且是云原生的，这确实帮了大忙。