Mnogi poduzetnici se s ovim pitanjem prvi puta susreću jer je kupac u listi pitanja postavio pitanje o ISO 27001-certifikatu ili o ekvivalentnom dokazu da je informacijska sigurnost u redu. Zatim brzo slijedi pitanje: koliko će to koštati? Nema fiksnog iznosa koji se može navesti, jer se troškovi sastoje od nekoliko dijelova koji se razlikuju od tvrtke do tvrtke.
Tri dijela su obično: interno vrijeme za izradu i održavanje politike, procedura i zapisa, eventualna podrška vanjskog savjetnika te sam audit koji provodi certifikacijska organizacija koja provjerava zadovoljava li se informacijska sigurnost normi. Na svaki dio utječe veličina tvrtke, broj lokacija i koliko je već u redu prije nego što proces započne.
Što radi certifikacijska organizacija
Certifikacijska organizacija je neovisna organizacija koja provjerava je li tvrtka uspostavila informacijski sustav sigurnosti kako norma ISO 27001 propisuje, te zatim izdaje certifikat. Ova organizacija naplaćuje vrijeme za audit, obično podijeljeno na inicijalnu provjeru i godišnju kontrolu kako bi certifikat ostao važeći. Račun certifikacijske organizacije obično je najvidljiviji dio troškova, ali nije jedini dio.
Što određuje visinu iznosa
Broj zaposlenih i lokacija koja spadaju u opseg certifikata je važan: što više procesa i sustava treba pregledati, to više vremena audit traje. Također je važno koliko je već u redu. Tvrtka koja već ima politiku informacijske sigurnosti, analizu rizika i utvrđene procedure obično je brže spremna za audit nego tvrtka koja tek mora početi. Također je važno je li vanjska podrška angažirana za fazu prije certifikacije i koliko je unutarnjeg vremena dostupno bez da se redovni rad zaustavi.
Certificiranje nije jedina opcija
Nisu svi kupci doslovno tražeći potpuni ISO 27001-certifikat. U mnogim listama pitanja postavlja se pitanje jesu li određene mjere provedene, bez da se certifikat zahtijeva. Ta razlika je važna: prikaz provedenih mjera, kao što su kontrola pristupa, sigurnosne kopije i procedura za incidente, košta manje od potpunog procesa certificiranja i može biti dovoljan za mnoge kupce. Koju točno vrstu dokaza kupac traži obično se nalazi u samoj listi pitanja ili u objašnjenju uz nju.
Za tvrtke koje žele vidjeti koja se pitanja često pojavljuju u njihovom sektoru i što stoji iza njih, postoji banka znanja u kojoj su predmeti razrađeni po situaciji. Tamo je također objašnjeno kako se takvo pitanje odnosi na druga pitanja iz liste pitanja.
Što supplia.eu čini i ne čini u ovom procesu
Supplia.eu ne certificira i ne procjenjuje zadovoljava li tvrtka ISO-normu; to ostaje posao certifikacijske organizacije. Ono što supplia.eu čini je održavanje odgovora koji su već dati na pitanja o informacijskoj sigurnosti, kako ih ne bi trebalo svaki put iznova tražiti kada sljedeći kupac pošalje sličnu listu pitanja. Ta pretplata je odvojena od troškova procesa certificiranja; cijene se nalaze na stranici s cijenama pretplate.
Prvi korak: vidjeti što se točno traži
Prije nego što tvrtka započne proces, pametno je prvo jasno saznati što kupac točno traži i zašto. Ponekad se ispostavi da je certifikat poželjno ali nije obavezan, i da se druga vrsta dokaza također prihvaća. Pomoću nekoliko pitanja koja pokazuju gdje se trenutno nalazite u samo nekoliko minuta postaje jasno o kojoj vrsti pitanja se vjerojatno radi i koji je smjer prikladan.
Želite li znati kako se informatička sigurnost i odgovarajući upitnici odnose prema drugim temama kao što su NIS2 ili KYB? Na stranici često postavljanih pitanja drugih poduzetnika nalazi se pregled pitanja koja se često pojavljuju, a besplatna brza provjera pokazuje u nekoliko minuta koje će teme biti predmet upita vašeg poduzeća.