Muitos empresários apenas se deparam com esta questão quando um cliente numa lista de perguntas pergunta sobre um certificado ISO 27001, ou sobre evidência equivalente de que a segurança da informação está em ordem. Segue-se rapidamente a pergunta: quanto vai custar? Não existe um montante fixo, porque os custos consistem em várias componentes que diferem consoante a empresa.
As três componentes são normalmente: o tempo interno para elaborar e manter políticas, procedimentos e registos, eventual assistência de um consultor externo, e a auditoria em si, realizada por um organismo de certificação que verifica se o sistema de segurança da informação está em conformidade com a norma. Cada componente é influenciada pela dimensão da empresa, pelo número de locais e por quanto já está em ordem antes do processo começar.
O que faz um organismo de certificação
Um organismo de certificação é uma organização independente que verifica se uma empresa configurou o sistema de segurança da informação conforme prescrito pela norma ISO 27001, e que depois emite o certificado. Este organismo cobra tempo pela auditoria, normalmente dividido entre uma avaliação inicial e um controlo anual para manter o certificado válido. A factura do organismo de certificação é normalmente a parte mais visível dos custos, mas não a única.
O que determina a altura do montante
O número de colaboradores e locais abrangidos pelo âmbito do certificado conta: quanto mais processos e sistemas precisarem ser examinados, mais tempo a auditoria custa. Também conta quanto já está em ordem. Uma empresa que já tem uma política de segurança da informação, uma análise de risco e procedimentos documentados, está normalmente mais rapidamente pronta para a auditoria do que uma empresa que ainda tem de começar. Além disso, conta se é contratada assistência externa para a fase preparatória, e quanto tempo interno está disponível para isso sem que o trabalho regular seja interrompido.
A certificação não é o único caminho
Nem todos os clientes pedem especificamente um certificado ISO 27001 completo. Em muitas listas de perguntas, pergunta-se se determinadas medidas foram implementadas, sem que um certificado seja exigido. Esta diferença é importante: demonstrar medidas tomadas, como controlo de acesso, cópias de segurança e um procedimento de incidentes, custa menos do que um processo de certificação completo e pode ser suficiente para muitos clientes. Que forma de evidência exatamente um cliente pede, normalmente consta da lista de perguntas em si ou na respectiva explicação.
Para empresas que querem ver que perguntas surgem frequentemente no seu sector e o que está por trás delas, existe a base de conhecimento em que os temas foram investigados de acordo com cada situação. Aí também está explicado como tal pergunta se relaciona com outros temas de uma lista de perguntas.
O que a supplia.eu faz e não faz neste processo
A supplia.eu não certifica nada e não avalia se uma empresa cumpre a norma ISO; isso permanece responsabilidade do organismo de certificação. O que a supplia.eu faz é manter um registo das respostas já dadas anteriormente a perguntas sobre segurança da informação, para que não precisem de ser procuradas novamente quando um próximo cliente envia uma lista de perguntas similar. Esta subscrição é independente dos custos de um processo de certificação; as tarifas constam de a página com as tarifas de uma subscrição.
Primeiro passo: compreender o que exatamente está a ser perguntado
Antes de uma empresa iniciar um processo, é aconselhável primeiro ficar claro sobre o que o cliente exatamente pede e porquê. Por vezes descobre-se que um certificado é desejável mas não obrigatório, e que outra forma de evidência também é aceita. Com algumas perguntas que mostram onde se encontra agora fica claro em alguns minutos que tipo de pergunta provavelmente é e qual direcção se adequa.
Gostaria de saber como a segurança da informação e os questionários associados se relacionam com outros tópicos como NIS2 ou KYB? Em a página de perguntas frequentes de outros empresários há uma visão geral das perguntas que surgem frequentemente, e a verificação rápida gratuita mostra em poucos minutos sobre quais temas sua empresa provavelmente será consultada.