Wielu przedsiębiorców otrzymuje to pytanie po raz pierwszy, ponieważ klient w kwestionariuszu pyta o certyfikat ISO 27001 lub o równoważny dowód, że bezpieczeństwo informacji jest zapewnione. Następnie szybko pojawia się pytanie: ile to będzie kosztować? Nie ma ustalonej kwoty, ponieważ koszty składają się z kilku elementów, które różnią się w zależności od firmy.
Trzy elementy to zazwyczaj: czas wewnętrzny poświęcony na opracowanie i utrzymanie zasad, procedur i rejestrów, ewentualne doradztwo zewnętrzne, oraz samą audyt przeprowadzony przez jednostkę certyfikującą, która sprawdza, czy system zarządzania bezpieczeństwem informacji spełnia normę. Na każdy element wpływ mają: rozmiar firmy, liczba lokalizacji i to, ile już jest w porządku przed началем procesu.
Co robi jednostka certyfikująca
Jednostka certyfikująca to niezależna organizacja, która sprawdza, czy firma wdrożyła system zarządzania bezpieczeństwem informacji zgodnie z normą ISO 27001, a następnie wydaje certyfikat. Jednostka ta nalicza czas poświęcony na audyt, zwykle podzielony na wstępną ocenę i roczną kontrolę w celu utrzymania ważności certyfikatu. Rachunek jednostki certyfikującej jest zwykle najbardziej widoczną częścią kosztów, ale nie jedyną.
Co decyduje o wysokości kwoty
Liczba pracowników i lokalizacji objętych zakresem certyfikatu ma znaczenie: im więcej procesów i systemów należy zbadać, tym więcej czasu zajmie audyt. Ważne jest również to, ile już jest w porządku. Firma, która już posiada politykę bezpieczeństwa informacji, analizę ryzyka i udokumentowane procedury, zazwyczaj szybciej przygotuje się do audytu niż firma, która dopiero musi zacząć. Ponadto ważne jest to, czy zostanie zatrudnione doradztwo zewnętrzne w fazie przygotowawczej i ile czasu wewnętrznego jest dostępne bez wstrzymywania regularnej pracy.
Certyfikacja nie jest jedyną drogą
Nie każdy klient dokładnie prosi o pełny certyfikat ISO 27001. W wielu kwestionariuszach pytania dotyczą tego, czy wdrożono określone środki, bez wymagania certyfikatu. Ta różnica jest ważna: wykazanie podjętych środków, takich jak kontrola dostępu, kopie zapasowe i procedura obsługi incydentów, kosztuje mniej niż pełny proces certyfikacji i może być wystarczające dla wielu klientów. Jaką dokładnie formę dowodu wymaga klient, zwykle określono w samym kwestionariuszu lub w dołączonej instrukcji.
Dla firm, które chcą zobaczyć, jakie pytania często się pojawiają w ich branży i co za nimi stoi, dostępna jest baza wiedzy, w której tematy są opracowane dla każdej sytuacji. Zawiera ona również wyjaśnienie, jak takie pytanie wiąże się z innymi tematami z kwestionariusza.
Co supplia.eu robi i czego nie robi w tym procesie
Supplia.eu nie certyfikuje i nie ocenia, czy firma spełnia normę ISO; to pozostaje zadaniem jednostki certyfikującej. Supplia.eu natomiast prowadzi rejestr odpowiedzi już udzielonych na pytania dotyczące bezpieczeństwa informacji, aby nie trzeba było ich szukać od nowa za każdym razem, gdy następny klient wysyła podobny kwestionariusz. Ta subskrypcja jest niezależna od kosztów procesu certyfikacji; stawki znajdują się na stronie z taryfami abonamentu.
Pierwszy krok: zobaczyć, co dokładnie jest pytane
Zanim firma rozpocznie proces, warto najpierw wyjaśnić, co dokładnie klient pyta i dlaczego. Czasami okazuje się, że certyfikat jest pożądany, ale nie obowiązkowy, i że inna forma dowodu również będzie zaakceptowana. Za pomocą kilku pytań, które pokazują, gdzie jesteś teraz w kilka minut stanie się jasne, jaki typ pytania jest zaangażowany i jaki kierunek będzie odpowiedni.
Czy chciałaby wiedzieć, jak bezpieczeństwo informacji i związane z tym ankiety mają się do innych zagadnień, takich jak NIS2 lub KYB? Na stronie z często zadawanymi pytaniami od innych przedsiębiorców znajduje się przegląd pytań, które się powtarzają, a bezpłatne szybkie skanowanie pokazuje w kilka minut, na jakie tematy Twoja firma będzie prawdopodobnie pytana.