Muchos empresarios reciben esta pregunta solo cuando un cliente incluye en un cuestionario una pregunta sobre un certificado ISO 27001, o sobre pruebas equivalentes de que la seguridad de la información está en orden. Entonces surge rápidamente la pregunta: ¿cuánto va a costar esto? No hay una cantidad fija que mencionar, porque los costos constan de varios componentes que varían según la empresa.
Los tres componentes suelen ser: el tiempo interno para elaborar y mantener políticas, procedimientos y registros, posible asesoramiento externo de un asesor externo, y la auditoría en sí, realizada por un organismo certificador que verifica que el sistema de seguridad de la información cumple con la norma. Cada componente se ve afectado por el tamaño de la empresa, el número de ubicaciones y cuánto ya está en orden antes de que comience el proceso.
Qué hace un organismo certificador
Un organismo certificador es una organización independiente que verifica que una empresa ha establecido el sistema de seguridad de la información tal como lo prescribe la norma ISO 27001, y que posteriormente expide el certificado. Esta organización factura el tiempo dedicado a la auditoría, normalmente dividido entre una evaluación inicial y una verificación anual para mantener la validez del certificado. La factura del organismo certificador suele ser la parte más visible de los costos, pero no es la única.
Lo que determina el importe
El número de empleados y ubicaciones que se incluyen en el alcance del certificado es relevante: cuantos más procesos y sistemas deban examinarse, más tiempo costará la auditoría. También es relevante cuánto ya está en orden. Una empresa que ya cuenta con una política de seguridad de la información, un análisis de riesgos y procedimientos documentados, normalmente está más preparada para la auditoría que una empresa que aún debe comenzar. Además, influye si se contrata asesoramiento externo para la fase previa y cuánto tiempo interno está disponible sin que se interrumpa el trabajo regular.
La certificación no es el único camino
No todos los clientes solicitan literalmente un certificado ISO 27001 completo. En muchos cuestionarios se pregunta si se han implementado ciertas medidas, sin que sea obligatorio un certificado. Esa diferencia es importante: demostrar medidas adoptadas, como controles de acceso, copias de seguridad y un procedimiento de incidentes, cuesta menos que un proceso de certificación completo y puede ser suficiente para muchos clientes. Qué forma de prueba solicita exactamente un cliente, generalmente se indica en el propio cuestionario o en la explicación del mismo.
Para empresas que deseen ver qué preguntas surgen frecuentemente en su sector y qué hay detrás de ellas, existe la base de conocimientos en la que los temas se han analizado según la situación. También se explica cómo esa pregunta se relaciona con otros temas de un cuestionario.
Qué hace supplia.eu y qué no hace en este proceso
Supplia.eu no certifica ni evalúa si una empresa cumple con la norma ISO; esa es la función del organismo certificador. Lo que supplia.eu sí hace es mantener un registro de las respuestas que ya se han dado a preguntas sobre seguridad de la información, de modo que no sea necesario investigarlas de nuevo cada vez que un cliente siguiente envía un cuestionario similar. Esa suscripción es independiente de los costos de un proceso de certificación; las tarifas figuran en la página con las tarifas de una suscripción.
Primer paso: ver qué se pregunta exactamente
Antes de que una empresa inicie un proceso, es recomendable aclarar primero qué pregunta exactamente el cliente y por qué. A veces resulta que se desea un certificado pero no es obligatorio, y que también se acepta otra forma de prueba. Con algunas preguntas que muestran dónde se encuentra ahora queda claro en unos pocos minutos de qué tipo de pregunta probablemente se trata y qué dirección encaja con ella.
¿Desea saber cómo se relacionan la seguridad de la información y los cuestionarios asociados con otros temas como NIS2 o KYB? En la página de preguntas frecuentes de otros empresarios hay una descripción general de las preguntas que aparecen con frecuencia, y el escaneo rápido gratuito muestra en pocos minutos en qué temas probablemente será consultada su empresa.