Sok vállalkozó csak akkor szembesül ezzel a kérdéssel, amikor egy ügyfél egy kérdőívben ISO 27001-tanúsítványt vagy egyenértékű bizonyítékot kér az információbiztonság rendezettségéről. Ezt követően gyorsan felmerül a kérdés: mennyibe fog kerülni? Nem lehet fix összeget megnevezni, mivel a költségek több részből állnak, amelyek vállalkozásonként eltérnek.
A három összetevő általában a következő: a belső idő az irányelvek, eljárások és nyilvántartások elkészítéséhez és karbantartásához, a külső tanácsadó lehetséges támogatása, valamint a tanúsító szervezet által végrehajtott audit, amely ellenőrzi, hogy az információbiztonság-irányítási rendszer megfelel-e a szabványnak. Mindegyik összetevőt befolyásolja a vállalkozás mérete, a telephelyek száma, és hogy mennyire van már rendben a projekt megkezdése előtt.
Mit csinál egy tanúsító szervezet
A tanúsító szervezet egy független szervezet, amely ellenőrzi, hogy a vállalkozás az információbiztonság-irányítási rendszert az ISO 27001-szabvány előírásai szerint állította-e be, és ezt követően kiadja a tanúsítványt. Ez a szervezet az audithez szükséges időt számlázza, általában egy kezdeti értékelésre és egy éves kontrollra osztva a tanúsítvány érvényességének megőrzéséhez. A tanúsító szervezet számlája általában a költségek legszembetűnőbb része, de nem az egyetlen.
Mi határozza meg az összeg nagyságát
A tanúsítvány hatálya alá tartozó alkalmazottak és telephelyek száma számít: minél több folyamatot és rendszert kell megvizsgálni, annál több időbe kerül az audit. Az is számít, mennyire van már rendben. Az a vállalkozás, amely már rendelkezik információbiztonsági szabályzattal, kockázatelemzéssel és rögzített eljárásokkal, általában gyorsabban készen áll az auditre, mint az a vállalkozás, amelynek még kezdenie kell. Továbbá számít, hogy külső támogatást vesznek-e igénybe az előzetes szakaszhoz, és mennyi belső időt lehet rendelkezésre bocsátani anélkül, hogy a szokásos munka megakadna.
A tanúsítás nem az egyetlen lehetőség
Nem minden ügyfél kér kifejezetten teljes ISO 27001-tanúsítványt. Sok kérdőívben azt kérdezik, hogy bizonyos intézkedéseket bevezettek-e, anélkül, hogy tanúsítványt kívánnak. Ez a különbség fontos: bizonyos intézkedések, például hozzáférés-vezérlés, biztonsági mentések és incidenseljárás bemutatása kevesebb költséget jelent, mint egy teljes tanúsítási projekt, és sok ügyfél számára elegendő lehet. Az ügyfél pontosan milyen bizonyítékot kér, általában a kérdőívben vagy annak magyarázatában szerepel.
Azoknak a vállalkozásoknak, akik szeretnék látni, hogy mely kérdések fordulnak elő gyakran az iparágukban és mit rejt mögötte, erre alkalmas a tudásbázis, amelyben a témák szituációnként vannak feldolgozva. Ott az is fel van tüntetve, hogyan viszonyul ez a kérdés egy kérdőív egyéb témáihoz.
Mit csinál és mit nem csinál a supplia.eu ebben a folyamatban
A supplia.eu nem tanúsít, és nem értékeli, hogy egy vállalkozás megfelel-e az ISO-szabványnak; ez marad a tanúsító szervezet feladata. A supplia.eu azt teszi, hogy eltárolja az információbiztonságra vonatkozó kérdésekre már korábban adott válaszokat, így azokat nem kell minden alkalommal újra keresnie, amikor a következő ügyfél egy hasonló kérdőívet küld. Ez az előfizetés a tanúsítási projekt költségeitől független; a díjak a következőkön találhatók: az előfizetési díjak oldala.
Első lépés: világosan megérteni, hogy pontosan mit kérdeznek
Mielőtt egy vállalkozás projektbe kezd, célszerű először világosan megérteni, hogy az ügyfél pontosan mit kér és miért. Néha kiderül, hogy tanúsítvány kívánatos, de nem kötelező, és más bizonyítékforma is elfogadható. A néhány kérdés segítségével, amely megmutatja, hogy jelenleg hol áll néhány perc alatt világos lesz, hogy valószínűleg milyen típusú kérdésről van szó és milyen irány passzol hozzá.
Szeretné tudni, hogyan viszonyul az információbiztonság és a kapcsolódó kérdőívek az olyan egyéb témákhoz, mint az NIS2 vagy a KYB? A más vállalkozások gyakori kérdéseinek oldalán áttekintés található a gyakran ismétlődő kérdésekről, és az ingyenes gyorsszkennelés néhány perc alatt megmutatja, hogy vállalkozása valószínűleg mely témákban lesz megkérdezve.