Mnozí podnikatelé se s touto otázkou setkají poprvé, když ji zmíní jejich odběratel v dotazníku – buď se ptá přímo na certifikát ISO 27001, nebo na ekvivalentní důkaz, že je informační bezpečnost v pořádku. Pak se zpravidla objeví další otázka: kolik to bude stát? Nelze uvést pevnou sumu, protože náklady se skládají z více částí, které se u každé firmy liší.
Tři části jsou zpravidla: interní čas potřebný k vypracování a udržování politik, postupů a záznamů, případná asistence externího konzultanta a samotný audit, který provádí certifikační orgán, aby ověřil, zda systém řízení informační bezpečnosti odpovídá normě. Každou část ovlivňuje velikost firmy, počet poboček a kolik věcí je již v pořádku dříve, než se projekt začne.
Co dělá certifikační orgán
Certifikační orgán je nezávislá organizace, která ověřuje, zda firma zavedla systém řízení informační bezpečnosti tak, jak to předepisuje norma ISO 27001, a následně vydá certifikát. Tento orgán účtuje čas strávený auditem, zpravidla rozděleným do počáteční kontroly a roční inspekce za účelem zachování platnosti certifikátu. Faktura certifikačního orgánu je obvykle nejviditelnější součástí nákladů, ale není jedinou.
Co určuje výši sumy
Počet zaměstnanců a poboček spadajících do rozsahu certifikátu: čím více procesů a systémů je třeba prověřit, tím více času audit zabere. Také záleží na tom, kolik věcí je již v pořádku. Firma, která již má politiku informační bezpečnosti, analýzu rizik a zdokumentované postupy, je obvykle dříve připravena na audit než firma, která teprve začíná. Dále se uplaťuje, zda se využívá externí asistence na přípravnou fázi a kolik interního času je k dispozici bez ohrožení běžné činnosti.
Certifikace není jedinou cestou
Ne každý odběratel vyžaduje doslova plný certifikát ISO 27001. V mnoha dotaznících se ptají, zda byla zavedena určitá opatření, aniž by certifikát vyžadovali. Tento rozdíl je důležitý: prokázání přijatých opatření, jako je kontrola přístupu, zálohování a postup řešení incidentů, stojí méně než plný certifikační projekt a může být pro mnohé odběratele dostatečné. Která forma důkazu odběratel přesně vyžaduje, je zpravidla uvedena v samotném dotazníku nebo v jeho vysvětlení.
Pro firmy, které chtějí vidět, které otázky se v jejich odvětví často opakují a co za nimi stojí, existuje znalostní báze, ve které jsou témata rozebírána podle situace. Obsahuje také vysvětlení, jak se taková otázka vztahuje k ostatním tématům z dotazníku.
Co supplia.eu v tomto procesu dělá a nedělá
Supplia.eu nic nekertifikuje a neposuzuje, zda firma splňuje normu ISO; to zůstává práce certifikačního orgánu. Supplia.eu se stará o vedení odpovědí, které již byly dříve podány na otázky týkající se informační bezpečnosti, aby nebyly pokaždé znovu vyhledávány, když příští odběratel pošle podobný dotazník. Toto předplatné je nezávislé na nákladech na certifikační projekt; sazby najdete na stránce s cenami předplatného.
Prvním krokem: zjistit, co se přesně požaduje
Než firma projekt začne, je rozumné nejdřív jasně pochopit, co odběratel přesně požaduje a proč. Někdy se ukáže, že certifikát je žádoucí, ale není povinný, a lze přijmout i jiný forma důkazu. Pomocí několika otázek, které ukážou, kde se právě nacházíte se během několika minut ujasní, o jaký typ otázky jde, a jaký směr je vhodný.
Chcete vědět, jak se bezpečnost informací a související dotazníky vztahují k jiným tématům, jako je NIS2 nebo KYB? Na stránce s často kladenými otázkami od ostatních podnikatelů je přehled otázek, které se často opakují, a bezplatná rychlá kontrola vám během několika minut ukáže, na které oblasti bude váš podnik pravděpodobně dotazován.