Molti imprenditori si trovano di fronte a questa domanda solo perché un cliente in un questionario chiede un certificato ISO 27001, oppure una prova equivalente che la sicurezza delle informazioni sia in ordine. Allora sorge subito la domanda: quanto costerà? Non esiste un importo fisso, poiché i costi sono composti da più elementi che variano da azienda a azienda.
I tre elementi sono generalmente: il tempo interno per redigere e mantenere politiche, procedure e registrazioni, eventuali consulenze esterne di un consulente, e l'audit stesso, condotto da un organismo di certificazione che verifica se il sistema di gestione della sicurezza delle informazioni è conforme allo standard. Ogni elemento è influenzato dalla dimensione dell'azienda, dal numero di sedi e da quanto è già in ordine prima dell'inizio del percorso.
Cosa fa un organismo di certificazione
Un organismo di certificazione è un'organizzazione indipendente che verifica se un'azienda ha implementato il sistema di gestione della sicurezza delle informazioni secondo quanto prescritto dalla norma ISO 27001 e che successivamente rilascia il certificato. Questo organismo addebita il tempo per l'audit, di solito suddiviso in una valutazione iniziale e un controllo annuale per mantenere la validità del certificato. La fattura dell'organismo di certificazione è solitamente la parte più visibile dei costi, ma non l'unica.
Cosa determina l'importo
Il numero di dipendenti e sedi che rientrano nell'ambito del certificato è rilevante: più processi e sistemi devono essere esaminati, più tempo costa l'audit. Conta anche quanto è già in ordine. Un'azienda che ha già una politica di sicurezza delle informazioni, un'analisi dei rischi e procedure documentate, di solito è più pronta per l'audit rispetto a un'azienda che deve ancora iniziare. Inoltre, conta se viene assunta consulenza esterna per la fase preliminare e quanto tempo interno è disponibile senza che il lavoro ordinario si fermi.
La certificazione non è l'unica strada
Non ogni cliente chiede letteralmente un certificato ISO 27001 completo. In molti questionari viene chiesto se determinate misure sono state implementate, senza che sia richiesto un certificato. Questa differenza è importante: mostrare le misure adottate, come il controllo degli accessi, i backup e una procedura di incidente, costa meno di un intero percorso di certificazione e può essere sufficiente per molti clienti. La forma di prova che un cliente chiede esattamente, di solito è indicata nel questionario stesso o nella relativa spiegazione.
Per le aziende che desiderano vedere quali domande ricorrono spesso nel loro settore e cosa c'è dietro, c'è la banca delle conoscenze in cui i temi sono stati esaminati per situazione. Lì è anche spiegato come tale domanda si collega ad altri argomenti di un questionario.
Cosa fa e non fa supplia.eu in questo percorso
Supplia.eu non certifica e non valuta se un'azienda è conforme allo standard ISO; questo rimane il lavoro dell'organismo di certificazione. Ciò che supplia.eu fa è mantenere le risposte già date in precedenza a domande sulla sicurezza delle informazioni, in modo che non debbano essere cercate di nuovo ogni volta che un cliente successivo invia un questionario simile. Questo abbonamento è separato dai costi di un percorso di certificazione; le tariffe sono indicate su la pagina con le tariffe di un abbonamento.
Primo passo: vedere cosa viene esattamente chiesto
Prima di avviare un percorso, è consigliabile ottenere chiarezza su cosa esattamente chiede il cliente e perché. A volte risulta che un certificato è desiderato ma non obbligatorio, e che un'altra forma di prova è accettata. Con poche domande che mostrano dove siete ora diventa chiaro in pochi minuti di che tipo di domanda probabilmente si tratta e quale direzione è adatta.
Volete sapere come la sicurezza delle informazioni e i relativi questionari si relazionano ad altri argomenti come NIS2 o KYB? Su la pagina delle domande frequenti di altri imprenditori c'è una panoramica delle domande che ricorrono spesso, e la scansione rapida gratuita mostra in pochi minuti su quali argomenti la vostra azienda probabilmente sarà interrogata.