Mnohí podnikatelia dostanú túto otázku na stôl až preto, lebo zákazník v dotazníku požaduje certifikát ISO 27001 alebo ekvivalentný dôkaz, že informačná bezpečnosť je v poriadku. Potom nasleduje rýchlo otázka: koľko to bude stáť? Nie je možné uviesť fixnú sumu, pretože náklady sa skladajú z niekoľkých komponentov, ktoré sa líšia podľa spoločnosti.
Tri komponenty sú zvyčajne: interný čas potrebný na vypracovanie a údržbu politík, postupov a dokumentácie, prípadné poradenstvo od externého poradcu a samotný audit vykonaný certifikačnou inštitúciou, ktorá overuje, či informačný bezpečnostný systém spĺňa normu. Každý komponent je ovplyvnený rozsahom spoločnosti, počtom pobočiek a tým, koľko je už v poriadku pred začatím procesu.
Čo robí certifikačná inštitúcia
Certifikačná inštitúcia je nezávislá organizácia, ktorá overuje, či spoločnosť nastavila informačný bezpečnostný systém tak, ako predpisuje norma ISO 27001, a ktorá následne vydá certifikát. Táto inštitúcia si účtuje čas na audit, zvyčajne rozdelený na prvotné overenie a ročnú kontrolu na zachovanie platnosti certifikátu. Faktúra certifikačnej inštitúcie je zvyčajne najviditeľnejšou časťou nákladov, ale nie jedinou.
Čo určuje výšku sumy
Počet zamestnancov a pobočiek, ktoré spadajú do rozsahu certifikátu, sa zohľadňuje: čím viac procesov a systémov sa musí preskúmať, tým viac času audit trvá. Taktiež sa zohľadňuje, koľko je už v poriadku. Spoločnosť, ktorá má už vypracovanú politiku informačnej bezpečnosti, analýzu rizík a zdokumentované postupy, je zvyčajne pripravená na audit rýchlejšie ako spoločnosť, ktorá musí ešte začínať. Ďalej sa zohľadňuje, či sa najíma externí poradca na prípravný proces a koľko interného času je naň dostupné bez toho, aby sa zastavila bežná činnosť.
Certifikácia nie je jedinou cestou
Nie každý zákazník si doslova vyžaduje úplný certifikát ISO 27001. V mnohých dotazníkoch sa pýta, či boli zavedené určité opatrenia, bez toho, aby sa vyžadoval certifikát. Tento rozdiel je dôležitý: predloženie prijatých opatrení, ako je riadenie prístupu, zálohy a postup pri incidentoch, stojí menej ako úplný certifikačný proces a môže byť pre mnohých zákazníkov postačujúce. Akú presne formu dôkazu zákazník požaduje, zvyčajne stojí v samotnom dotazníku alebo v jeho vysvetlení.
Pre spoločnosti, ktoré chcú vidieť, aké otázky sa v ich sektore často vyskytujú a čo za nimi stojí, existuje databáza znalostí, v ktorej sú témy rozpracované podľa situácie. Tam je tiež vysvetlené, ako sa taká otázka vzťahuje na iné témy z dotazníka.
Čo supplia.eu robí a nerobí v tomto procese
Supplia.eu nič necertifikuje a neposúdza, či spoločnosť spĺňa normu ISO; to zostáva prácou certifikačnej inštitúcie. Čo supplia.eu robí, je udržiavanie odpovedí, ktoré boli už predtým dané na otázky o informačnej bezpečnosti, aby sa tieto nemuseli zakaždým znova hľadať, keď ďalší zákazník pošle podobný dotazník. Toto predplatné je nezávislé od nákladov na certifikačný proces; sadzby sú uvedené na stránke s tarifami predplatného.
Prvý krok: vidieť, čo sa presne požaduje
Pred začatím procesu je rozumné, aby si spoločnosť najprv ujasniť, čo zákazník presne požaduje a prečo. Niekedy sa ukáže, že certifikát je žiadúci, ale nie povinný, a že sa akceptuje aj iná forma dôkazu. S niekoľkými otázkami, ktoré ukazujú, kde sa teraz nachádzate sa v niekoľkých minútach vyjasnilo, o aký typ otázky pravdepodobne ide a ktorý smer k tomu patrí.
Chcete vedieť, ako spolu súvisia informačná bezpečnosť a súvisiace zoznamy otázok s inými témami, ako sú NIS2 alebo KYB? Na stránke s často kladanými otázkami od iných podnikateľov nájdete prehľad otázok, ktoré sa často vyskytujú, a bezplatný rýchly test vám za pár minút ukáže, na ktoré témy bude váš podnik pravdepodobne oslovený.