Много предприемачи се сблъскват с този въпрос едва тогава, когато клиент в анкета пита за ISO 27001 сертификат или за равностоен доказ, че информационната сигурност е в ред. След това скоро следва въпросът: колко ще струва? Няма фиксирана сума, която да може да се посочи, тъй като разходите се състоят от няколко компонента, които се различават за всяка фирма.
Трите компонента обикновено са: вътрешното време, необходимо за разработка и поддържане на политика, процедури и записи, възможно съветодателство от външен консултант и самата одит, проведена от сертифицирайте орган, който проверява дали информационната система за сигурност отговаря на стандарта. Всеки компонент се влияе от размера на фирмата, броя на локалните места и колко вече е в ред преди да започне процесът.
Какво прави сертифицирайте орган
Сертифицирайте орган е независима организация, която проверява дали фирма е установила информационната система за сигурност в съответствие с требованията на стандарта ISO 27001 и която впоследствие издава сертификата. Този орган начислява време за одита, обикновено разделено на първоначална проверка и годишна проверка, за да остане сертификатът валиден. Сметката на сертифицирайте органа обикновено е най-видимата част от разходите, но не е единствената част.
Кое определя размера на сумата
Броят на служителите и локалните места, които попадат в обхвата на сертификата, се брои: колкото повече процеси и системи трябва да се изследват, толкова повече време ще отнеме одитът. Също се брои колко вече е в ред. Фирма, която вече има информационна политика за сигурност, анализ на риска и установени процедури, обикновено е по-бързо готова за одит, отколкото фирма, която тепърва трябва да започне. Освен това е важно дали се наемат външни консултанти за предварителния процес и колко вътрешно време е налично за него без регулярната работа да се спира.
Сертификацията не е единственият път
Не всеки клиент буквално иска пълен ISO 27001 сертификат. В много анкети се пита дали са въведени определени мерки, без сертификат да се изисква. Това разлика е важна: демонстриране на предприети мерки, като контрол на достъпа, резервни копия и процедура за инцидент, струва по-малко от пълен процес на сертификация и може да е достатъчно за много клиенти. Каква точно форма на доказ клиент търси, обикновено е написано в самата анкета или в обяснението към нея.
За фирми, които желаят да видят кои въпроси често се появяват в техния сектор и какво е зад тях, има базата от знания, в която темите са разработени по ситуация. Там е обяснено и как такъв въпрос се отнася към други теми от анкета.
Какво supplia.eu прави и не прави в този процес
Supplia.eu не сертифицира и не преценява дали фирма отговаря на ISO стандарта; това остава работа на сертифицирайте органа. Какво supplia.eu прави, е да поддържа отговорите, които вече са дадени на въпроси за информационната сигурност, така че те да не трябва да се издирват отново всеки път, когато следващ клиент изпраща подобна анкета. Това абонамент е отделен от разходите на процес на сертификация; тарифите са на страницата с тарифите на абонамент.
Първа стъпка: вижте какво точно се пита
Преди фирма да стартира процес, е разумно първо да разясни какво точно клиент пита и защо. Понякога се оказва, че сертификат е желан, но не задължителен, и че друга форма на доказ също се приема. С няколко въпроса, които показват къде стойте сега в няколко минути станова ясно за какъв вид въпрос вероятно е и която посока е подходяща.
Искате ли да узнаете как информационната сигурност и свързаните с нея въпросници се отнасят към други теми, като NIS2 или KYB? На страницата често задавани въпроси на други предприятия има преглед на въпросите, които често се повтарят, и бесплатното бързо сканиране показва в няколко минути по кои теми вашето предприятие вероятно ще бъде разпитано.