Monet yrittäjät kohtaavat tämän kysymyksen vasta, kun ostaja esittää kyselylomakkeessa kysymyksen ISO 27001 -sertifikaatista tai vastaavasta todisteesta tietoturvan kunnosta. Seuraavaksi tulee nopeasti kysymys: mitä tämä maksaa? Kiinteää summaa ei voi nimetä, koska kustannukset koostuvat useista osista, jotka vaihtelevat yrityskohtaisesti.
Kolme osaa ovat yleensä: sisäinen aika politiikan, menettelytapojen ja rekisteröintien laadintaan ja ylläpitoon, mahdollinen ulkoisen neuvonantajan opastus ja itse auditointi, jonka suorittaa sertifiointiorganisaatio, joka tarkistaa, vastaako tietoturvallisuusjärjestelmä normin vaatimuksiin. Jokaisen osan vaikuttavat tekijät ovat yrityksen koko, paikkojen lukumäärä ja kuinka paljon on jo kunnossa ennen prosessin alkamista.
Mitä sertifiointiorganisaatio tekee
Sertifiointiorganisaatio on riippumaton organisaatio, joka tarkistaa, onko yritys järjestänyt tietoturvallisuusjärjestelmän ISO 27001 -normin vaatimuksien mukaisesti, ja myöntää sen jälkeen sertifikaatin. Tämä organisaatio laskuttaa auditoinnin ajasta, yleensä jaoteltuna ensimmäiseen arviointiin ja vuosittaiseen tarkastukseen sertifikaatin voimassaolon säilyttämiseksi. Sertifiointiorganisaation lasku on yleensä kustannusten näkyvin osa, mutta ei ainoa osa.
Mitä määrittää summan suuruuden
Sertifikaatin piiriin kuuluvien työntekijöiden ja paikkojen lukumäärä on merkitystävä: mitä enemmän prosesseja ja järjestelmiä on tutkittava, sitä enemmän auditointi maksaa. Merkitystävä on myös kuinka paljon on jo kunnossa. Yritys, jolla on jo tietoturvallisuuspolitiikka, riskianalyysi ja dokumentoidut menettelytavat, on yleensä nopeammin valmis auditointiin kuin yritys, joka on vasta alkamassa. Lisäksi merkitystävä on, palkataanko ulkoinen neuvonantaja esivalmistautumisen avuksi, ja kuinka paljon sisäistä aikaa sille on käytettävissä ilman että säännöllinen työ keskeytyy.
Sertifiointikin ei ole ainoa tie
Kaikki ostajat eivät vaadi kirjaimellisesti täydellistä ISO 27001 -sertifikaattia. Monissa kyselylomakkeissa kysytään, onko tiettyjä toimenpiteitä otettu käyttöön, ilman että sertifikaattia vaadita. Tämä ero on tärkeä: toteutettujen toimenpiteiden, kuten pääsynhallinnan, varmuuskopioiden ja poikkeamaprotokollien, osoittaminen maksaa vähemmän kuin täydellinen sertifiointiprosessi ja voi olla riittävä monille ostajille. Mitä tarkkaan ottaen todistemuotoa ostaja haluaa, on yleensä nähtävissä kyselylomakkeessa itsessään tai sen ohjeissa.
Yrityksille, jotka haluavat nähdä, mitä kysymyksiä heidän alallaan yleisesti toistetaan ja mitä niiden takana on, on tietovaranto, jossa aiheet on eritelty tilanteittain. Siellä on myös selvitetty, miten tällä kysymyksellä on suhde kyselylomakkeen muihin aiheisiin.
Mitä supplia.eu tekee ja ei tee tässä prosessissa
Supplia.eu ei sertifioi mitään eikä arvioi, vastaako yritys ISO-normin vaatimuksiin; se on edelleen sertifiointiorganisaation tehtävä. Mitä supplia.eu tekee, on aikaisemmin tietoturvaa koskeviin kysymyksiin annettujen vastausten kirjaaminen, jotta niitä ei tarvitse etsiä uudelleen aina, kun seuraava ostaja lähettää samanlaisen kyselylomakkeen. Tämä tilaus on erillään sertifiointiprosessin kustannuksista; hinnat löytyvät tilauksen hinnoittelusivulta.
Ensimmäinen askel: nähdä, mitä tarkasti kysytään
Ennen kuin yritys aloittaa prosessin, on järkevää ensin saada selväksi, mitä ostaja tarkasti kysyy ja miksi. Joskus käy ilmi, että sertifikaatti on toivottava mutta ei pakollinen, ja että toinenkin todistemuoto hyväksytään. Mukaan muutamalla kysymyksellä, jotka osoittavat, missä olet nyt selviää muutamissa minuuteissa, minkä tyyppisestä kysymyksestä todennäköisesti on kyse ja mikä suunta siihen sopii.
Haluatteko tietää, miten tietoturva ja siihen liittyvät kyselyt liittyvät muihin aiheisiin, kuten NIS2 tai KYB? Sivu usein kysyttyjen kysymysten sivulla muista yrityksistä on luettelo usein toistuvista kysymyksistä, ja ilmainen pika-tarkistus näyttää muutamassa minuutissa, mistä aiheista yrityksellenne todennäköisesti kysytään.