Πολλοί επιχειρηματίες αντιμετωπίζουν αυτό το ζήτημα για πρώτη φορά επειδή ένας πελάτης σε ένα ερωτηματολόγιο ζητά πιστοποιητικό ISO 27001 ή ισοδύναμη απόδειξη ότι η ασφάλεια των πληροφοριών είναι σε τάξη. Στη συνέχεια γρήγορα προκύπτει το ερώτημα: τι θα κοστίσει αυτό; Δεν υπάρχει σταθερό ποσό να αναφερθεί, διότι τα κόστη αποτελούνται από πολλαπλά στοιχεία που διαφέρουν ανά επιχείρηση.
Τα τρία στοιχεία είναι συνήθως: ο εσωτερικός χρόνος για τη σύνταξη, τη διατήρηση και την ενημέρωση των πολιτικών, των διαδικασιών και των αρχείων, ενδεχόμενη καθοδήγηση από έναν εξωτερικό σύμβουλο, και η ίδια η ελεγκτική διαδικασία, πραγματοποιούμενη από έναν φορέα πιστοποίησης που επαληθεύει εάν το σύστημα διαχείρισης ασφάλειας πληροφοριών συμμορφώνεται με το πρότυπο. Κάθε στοιχείο επηρεάζεται από το μέγεθος της επιχείρησης, τον αριθμό των τοποθεσιών και το πόσα είναι ήδη σε τάξη πριν ξεκινήσει το έργο.
Τι κάνει ένας φορέας πιστοποίησης
Ένας φορέας πιστοποίησης είναι ένας ανεξάρτητος οργανισμός που ελέγχει εάν μια επιχείρηση έχει δημιουργήσει το σύστημα διαχείρισης ασφάλειας πληροφοριών σύμφωνα με τις προδιαγραφές του προτύπου ISO 27001, και στη συνέχεια εκδίδει το πιστοποιητικό. Αυτός ο φορέας χρεώνει χρόνο για την ελεγκτική διαδικασία, συνήθως διαιρούμενο σε μια αρχική αξιολόγηση και έναν ετήσιο έλεγχο για τη διατήρησης της ισχύος του πιστοποιητικού. Ο λογαριασμός του φορέα πιστοποίησης είναι συνήθως το πιο ορατό μέρος του κόστους, αλλά όχι το μόνο μέρος.
Τι καθορίζει το ύψος του ποσού
Ο αριθμός των υπαλλήλων και των τοποθεσιών που εμπίπτουν στο πεδίο εφαρμογής του πιστοποιητικού έχει σημασία: όσο περισσότερες διεργασίες και συστήματα πρέπει να εξεταστούν, τόσο περισσότερο χρόνο θα χρειαστεί η ελεγκτική διαδικασία. Έχει επίσης σημασία το πόσα είναι ήδη σε τάξη. Μια επιχείρηση που έχει ήδη μια πολιτική ασφάλειας πληροφοριών, ανάλυση κινδύνων και τεκμηριωμένες διαδικασίες, είναι συνήθως ταχύτερη προετοιμασία για την ελεγκτική διαδικασία από μια επιχείρηση που πρέπει ακόμη να ξεκινήσει. Επίσης σημασία έχει εάν εξωτερική καθοδήγηση ενοικιάζεται για το προπαρασκευαστικό στάδιο και πόσος εσωτερικός χρόνος είναι διαθέσιμος χωρίς να σταματήσει το κανονικό έργο.
Η πιστοποίηση δεν είναι η μόνη διαδρομή
Δεν κάθε πελάτης ζητά κατά γράμμα ένα πλήρες πιστοποιητικό ISO 27001. Σε πολλά ερωτηματολόγια τίθεται το ερώτημα εάν έχουν εφαρμοστεί ορισμένα μέτρα, χωρίς να απαιτείται πιστοποιητικό. Αυτή η διαφορά είναι σημαντική: η επίδειξη των λαμβανόμενων μέτρων, όπως έλεγχος πρόσβασης, δημιουργία αντιγράφων ασφαλείας και διαδικασία αντιμετώπισης περιστατικών, κοστίζει λιγότερο από ένα πλήρες έργο πιστοποίησης και μπορεί να είναι επαρκές για πολλούς πελάτες. Ποια ακριβώς μορφή απόδειξης ζητά ένας πελάτης, συνήθως περιέχεται στο ίδιο το ερωτηματολόγιο ή στην επεξήγηση αυτού.
Για επιχειρήσεις που θέλουν να δουν ποιες ερωτήσεις εμφανίζονται συχνά στον τομέα τους και τι κρύβεται πίσω από αυτές, υπάρχει τη βάση γνώσης όπου τα θέματα έχουν ερευνηθεί κατά περίπτωση. Εκεί εξηγείται επίσης πώς τέτοιο ερώτημα σχετίζεται με άλλα θέματα από ένα ερωτηματολόγιο.
Τι κάνει και δεν κάνει η supplia.eu σε αυτό το έργο
Η supplia.eu δεν πιστοποιεί και δεν αξιολογεί εάν μια επιχείρηση συμμορφώνεται με το πρότυπο ISO. αυτό παραμένει έργο του φορέα πιστοποίησης. Αυτό που κάνει η supplia.eu είναι να διατηρεί τις απαντήσεις που έχουν ήδη δοθεί σε ερωτήσεις σχετικά με την ασφάλεια των πληροφοριών, έτσι ώστε να μην χρειάζεται να αναζητηθούν εκ νέου κάθε φορά που ένας επόμενος πελάτης στέλνει ένα παρόμοιο ερωτηματολόγιο. Αυτή η συνδρομή είναι ανεξάρτητη από τα κόστη ενός έργου πιστοποίησης· οι τιμές βρίσκονται στη σελίδα με τις τιμές μιας συνδρομής.
Πρώτο βήμα: δείτε τι ακριβώς ζητείται
Προτού ξεκινήσει μια επιχείρηση ένα έργο, είναι σκόπιμο να αποσαφηνίσει πρώτα τι ακριβώς ζητά ο πελάτης και γιατί. Μερικές φορές αποδεικνύεται ότι ένα πιστοποιητικό είναι επιθυμητό αλλά όχι υποχρεωτικό, και ότι μια άλλη μορφή απόδειξης γίνεται επίσης αποδεκτή. Με μερικές ερωτήσεις που δείχνουν πού βρίσκεστε τώρα γίνεται σαφές σε μερικά λεπτά ποιο είναι πιθανώς ο τύπος ερώτησης και ποια κατεύθυνση ταιριάζει με αυτό.
Θέλετε να μάθετε πώς η ασφάλεια πληροφοριών και οι σχετικές λίστες ερωτήσεων σχετίζονται με άλλα θέματα όπως NIS2 ή KYB; Στο τη σελίδα με τις συχνές ερωτήσεις άλλων επιχειρήσεων υπάρχει μια επισκόπηση των ερωτήσεων που εμφανίζονται συχνά, και η δωρεάν γρήγορη σάρωση δείχνει σε λίγα λεπτά σε ποια θέματα είναι πιθανό να ερωτηθεί η επιχείρησή σας.