De nombreux entrepreneurs ne découvrent cette question que lorsqu'un client la pose dans un questionnaire, en demandant un certificat ISO 27001 ou une preuve équivalente que la sécurité de l'information est en ordre. La question suivante est alors rapidement : combien cela va-t-il coûter ? Il n'y a pas de montant fixe à citer, car les coûts sont composés de plusieurs éléments qui varient d'une entreprise à l'autre.
Les trois éléments sont généralement : le temps interne pour élaborer et maintenir la politique, les procédures et les registres, un éventuel accompagnement par un consultant externe, et l'audit lui-même, effectué par un organisme de certification qui vérifie que le système de sécurité de l'information est conforme à la norme. Chaque élément est influencé par la taille de l'entreprise, le nombre de sites et l'ampleur de ce qui est déjà en ordre avant le début de la démarche.
Ce qu'un organisme de certification fait
Un organisme de certification est une organisation indépendante qui vérifie qu'une entreprise a mis en place son système de sécurité de l'information conformément à la norme ISO 27001, et qui délivre ensuite le certificat. Cet organisme facture le temps consacré à l'audit, généralement réparti sur un premier examen et un contrôle annuel pour maintenir la validité du certificat. La facture de l'organisme de certification est généralement la partie la plus visible des coûts, mais elle n'en est qu'une partie.
Ce qui détermine le montant
Le nombre d'employés et de sites couverts par le champ d'application du certificat compte : plus il y a de processus et de systèmes à examiner, plus l'audit coûte du temps. Le montant dépend également de ce qui est déjà en ordre. Une entreprise qui dispose déjà d'une politique de sécurité de l'information, d'une analyse des risques et de procédures documentées est généralement plus rapidement prête pour l'audit qu'une entreprise qui doit encore commencer. En outre, il faut tenir compte du fait qu'un accompagnement externe est engagé pour la phase préalable, et du temps interne disponible pour cela sans que le travail régulier ne s'arrête.
La certification n'est pas le seul chemin
Tous les clients ne demandent pas littéralement un certificat ISO 27001 complet. Dans de nombreux questionnaires, on demande si certaines mesures ont été mises en œuvre, sans exiger un certificat. Cette distinction est importante : la démonstration de mesures prises, comme le contrôle d'accès, les sauvegardes et une procédure d'incident, coûte moins cher qu'un processus de certification complet et peut suffire à de nombreux clients. La forme exacte de preuve qu'un client demande est généralement indiquée dans le questionnaire lui-même ou dans l'explication qui l'accompagne.
Pour les entreprises qui veulent voir quelles questions reviennent souvent dans leur secteur et ce qui se cache derrière, il y a la base de connaissances où les sujets sont détaillés selon la situation. On y trouve également une explication sur la façon dont cette question se rapporte à d'autres sujets d'un questionnaire.
Ce que supplia.eu fait et ne fait pas dans cette démarche
Supplia.eu ne certifie rien et n'évalue pas si une entreprise est conforme à la norme ISO ; c'est le travail de l'organisme de certification. Ce que supplia.eu fait, c'est conserver les réponses déjà données à des questions sur la sécurité de l'information, afin qu'elles n'aient pas à être recherchées à nouveau chaque fois qu'un client suivant envoie un questionnaire similaire. Cet abonnement est indépendant des coûts d'une démarche de certification ; les tarifs se trouvent sur la page contenant les tarifs d'un abonnement.
Première étape : voir ce qui est exactement demandé
Avant qu'une entreprise ne se lance dans une démarche, il est judicieux de d'abord clarifier ce que le client demande exactement et pourquoi. Il s'avère parfois qu'un certificat est souhaité mais non obligatoire, et qu'une autre forme de preuve est également acceptée. Avec quelques questions qui montrent où vous en êtes maintenant il devient clair en quelques minutes quel type de question il s'agit probablement et quelle direction convient.
Voulez-vous savoir comment la sécurité de l'information et les questionnaires connexes se rapportent à d'autres sujets tels que NIS2 ou KYB? Sur la page des questions fréquemment posées d'autres entreprises se trouve un aperçu des questions qui reviennent souvent, et le diagnostic rapide gratuit montre en quelques minutes les sujets sur lesquels votre entreprise sera probablement interrogée.