Paljud ettevõtjad saavad selle küsimuse esitatud alles siis, kui ostja esitab küsimustikus küsimuse ISO 27001-sertifikaadi kohta või võrdse tõendi nõude kohta, et infobeveiligus on korras. Seejärel järgneb kiiresti küsimus: mis see maksab? Fikseeritud summat pole võimalik nimetada, sest kulud koosnevad mitmest osast, mis ettevõttes erinevad.
Kolm osa on tavaliselt: sisemine aeg poliitika, protseduuride ja registrite koostamiseks ja haldamiseks, võimalik nõustamine välise nõustaja poolt ja audit ise, mille viib läbi sertifitseerimisasutus, mis kontrollib, kas infobeveiligussüsteem vastab standardile. Iga osa mõjutavad ettevõtte maht, asukohade arv ja kui palju on juba tehtud enne projekti algust.
Mida teeb sertifitseerimisasutus
Sertifitseerimisasutus on sõltumatu organisatsioon, mis kontrollib, kas ettevõttel on infobeveiligussüsteem seadistatud nii, nagu ISO 27001-standard ette näeb, ja väljastab seejärel sertifikaadi. See asutus arvutab auditeerimisele kuluva aja, mis jagatakse tavaliselt esimeseks hindamiseks ja aastaseks kontrolliks sertifikaadi kehtivuse säilitamiseks. Sertifitseerimisasutuse arve on tavaliselt kulude kõige nähtavam osa, kuid mitte ainus osa.
Mis määrab summa suurust
Auditeerimise ulatusse kuuluvate töötajate ja asukohade arv on oluline: mida rohkem protsesse ja süsteeme tuleb uurida, seda rohkem aega audit võtab. Samuti on oluline, kui palju on juba tehtud. Ettevõttel, millel on juba infobeveiliguspoliitika, riskianalüüs ja fikseeritud protseduurid, on audit tavaliselt kiirem kui ettevõttel, kes alles peab alustama. Samuti on oluline, kas välisabi kaasatakse eelprojekti jaoks ja kui palju siseajast on selleks saadaval, ilma et regulaarne töö seisaks.
Sertifitseerimine pole ainus tee
Mitte iga ostja ei küsi otsesõnalt täielikku ISO 27001-sertifikaati. Paljudes küsimustikes küsitakse, kas teatud meetmed on juurutatud, ilma et sertifikaati nõutaks. See erinevus on oluline: võetud meetmete näitamine, nagu juurdepääsukontroll, varukoopiad ja intsidentide protseduur, maksab vähem kui täielik sertifitseerimisprojekt ja võib paljudele ostjatele piisav olla. Millise tõenditüübi ostja täpselt nõuab, on tavaliselt kirjas küsimustikus endas või selle selgituses.
Ettevõtete jaoks, kes soovivad näha, millised küsimused nende sektoris sageli esinevad ja mis nende taga on, on olemas teadusbaas, kus teemad on situatsioonide kaupa välja sorteeritud. Seal on ka selgitatud, kuidas selline küsimus on seotud küsimustiku teiste teemadega.
Mida supplia.eu selles projektis teeb ja ei tee
Supplia.eu ei sertifitseeri midagi ega hinda, kas ettevõte vastab ISO-standardile; see jääb sertifitseerimisasutuse tööks. Mida supplia.eu teeb, on vastuste pidamine, mis on juba varem antud infobeveiliguse küsimustele, et neid ei peaks iga kord otsima, kui järgmine ostja saadab sarnase küsimustiku. See abonement on eraldi sertifitseerimisprojekti kuludest; hinnad on abonementide hinnade leheküljel.
Esimene samm: vaadake, mida täpselt küsitakse
Enne projekti algust on mõistlik kõigepealt selgeks saada, mida ostja täpselt küsib ja miks. Mõnikord selgub, et sertifikaat on soovitav, kuid mitte kohustuslik, ja et teine tõenditüüp on samuti aktsepteeritav. Koos mõne küsimusega, mis näitavad, kus te praegu olete selgub mõne minutiga, mis tüüpi küsimuse kohta ilmselt on tegemist ja milline suund sobib.
Kas tahaksite teada, kuidas infoturve ja sellega seotud küsimustikud on seotud muude teemadega, nagu NIS2 või KYB? Lehel kus teised ettevõtjad esitavad sageli esitatud küsimusi on loetelu küsimustest, mis sageli korduvad, ja tasuta kiirskanning näitab paari minutiga, milliste teemade kohta teie ettevõtet tõenäoliselt küsitakse.