Mnogi podjetniki se s to vprašanjem srečajo šele takrat, ko jih naročnik v vprašalniku vpraša o certifikatu ISO 27001 ali o enakovrednem dokazilu, da je informacijska varnost urejena. Potem se hitro pojavi vprašanje: koliko bo to stalo? Ni mogoče navesti fiksnega zneska, ker se stroški sestavljajo iz več delov, ki se razlikujejo glede na podjetje.
Tri deli so običajno: interno čas za pripravo in vzdrževanje politik, postopkov in zapisov, morebitno zunanja pomoč svetovalca ter sama revizija, ki jo izvede certifikacijski organ in preveri, ali informacijski sistem varnosti ustreza normi. Na vsak del vplivajo velikost podjetja, število lokacij in koliko je že urejeno, preden se proces začne.
Kaj dela certifikacijski organ
Certifikacijski organ je neodvisna organizacija, ki preveri, ali je podjetje informacijski sistem varnosti vzpostavilo na način, kot ga predpisuje norma ISO 27001, in nato izda certifikat. Ta organ obračuna čas revizije, običajno razdeljen na prvo preverjanje in letno kontrolo, da ostane certifikat veljaven. Račun certifikacijskega organa je običajno najbolj vidni del stroškov, vendar ne edini del.
Kaj določa višino zneska
Število zaposlenih in lokacij, ki spadajo v obseg certifikata, je pomembno: več kot je procesov in sistemov, ki jih je treba pregledati, več časa stane revizija. Pomembno je tudi, koliko je že urejeno. Podjetje, ki ima že politiko varnosti informacij, analizo tveganj in dogovorjene postopke, je običajno hitreje pripravljen na revizijo kot podjetje, ki mora šele začeti. Poleg tega je pomembno, ali se najame zunanja pomoč za predpripravo in koliko notranjega časa je na voljo brez da bi redna dejavnost obstala.
Certificiranje ni edina pot
Ne vsak naročnik zahteva dobesedno poln certifikat ISO 27001. V mnogih vprašalnikih se sprašuje, ali so bile izvedene določene ukrepe, brez da bi se zahteval certifikat. Ta razlika je pomembna: prikaz sprejetih ukrepov, kot so nadzor dostopa, varnostne kopije in postopek za incidente, stane manj kot poln proces certificiranja in je za mnoge naročnike zadosten. Katero vrsto dokazila naročnik natančno zahteva, je običajno navedeno v samem vprašalniku ali v njegovi razlagi.
Za podjetja, ki želijo videti, katera vprašanja se v njihovem sektorju pogosto pojavljajo in kaj se za njimi skriva, je na voljo banka znanja, v kateri so vsebine razčlenjene glede na situacijo. Tam je razloženo tudi, kako se tako vprašanje povezuje z drugimi temami vprašalnika.
Kaj supplia.eu počne in česa ne počne v tem procesu
Supplia.eu ne certificira in ne presoja, ali podjetje ustreza ISO normi; to ostaja delo certifikacijskega organa. Kaj supplia.eu res počne, je beleženje odgovorov, ki so bili že prej podani na vprašanja o informacijski varnosti, tako da jih ne bo treba vsakič znova iskati, ko naslednji naročnik pošlje podoben vprašalnik. Ta naročnina je ločena od stroškov procesa certificiranja; tarife so navedene na strani s cenami naročnine.
Prvi korak: videti, kaj se natančno zahteva
Preden podjetje začne proces, je pametno, da najprej jasno ugotovi, kaj naročnik natančno zahteva in zakaj. Včasih se izkaže, da je certifikat zaželen, vendar ne obvezen, in da je tudi druga oblika dokazila sprejemljiva. Z nekaj vprašanji, ki pokažejo, kje ste trenutno se bo v nekaj minutah jasno, za katero vrsto vprašanja gre in katera smer je primerna.
Ali želite vedeti, kako se varnost informacij in pripadajoči vprašalniki nanašajo na druga področja, kot je NIS2 ali KYB? Na strani s pogosto zastavljenimi vprašanji drugih podjetnikov je pregled vprašanj, ki se pogosto pojavljajo, in brezplačno hitro skeniranje vam v nekaj minutah pokaže, o katerih področjih bo vaše podjetje verjetno spraševano.