Mulți antreprenori se confruntă cu această întrebare doar atunci când un cumpărător dintr-o chestionare întreabă despre un certificat ISO 27001, sau despre o dovadă echivalentă că securitatea informațiilor este în regulă. Apoi urmează rapid întrebarea: cât va costa? Nu se poate numi o sumă fixă, deoarece costurile constau din mai multe componente care diferă de la o companie la alta.
Cele trei componente sunt, de obicei: timpul intern pentru a elabora și a menține politica, procedurile și înregistrările, posibila îndrumare de către un consultant extern, și auditul propriu-zis, efectuat de un organism de certificare care verifică dacă sistemul de securitate a informațiilor respectă norma. Fiecare componentă este influențată de mărimea companiei, de numărul de locații și de cât de multă ordine există deja înainte ca procesul să înceapă.
Ce face un organism de certificare
Un organism de certificare este o organizație independentă care verifică dacă o companie și-a stabilit sistemul de securitate a informațiilor conform prescripțiilor normei ISO 27001, și care emite apoi certificatul. Această instituție percepe taxe pentru audit, de obicei împărțite între o evaluare inițială și o verificare anuală pentru a menține certificatul valabil. Factura organismului de certificare este de obicei cea mai vizibilă parte a costurilor, dar nu este singurul element.
Ce determină valoarea sumei
Numărul de angajați și locații care se încadrează în domeniul de aplicare al certificatului contează: cu cât mai multe procese și sisteme trebuie examinate, cu atât mai mult timp costă auditul. De asemenea, contează cât de multă ordine există deja. O companie care are deja o politică de securitate a informațiilor, o analiză de risc și proceduri documentate, este de obicei mai repede gata pentru audit decât o companie care abia trebuie să înceapă. În plus, contează dacă se angajează îndrumare externă pentru faza preambulă și cât timp intern este disponibil fără a îngreuna munca obișnuită.
Certificarea nu este singura cale
Nu orice cumpărător cere literal un certificat ISO 27001 complet. În multe chestionare se întreabă dacă anumite măsuri au fost implementate, fără a se cere un certificat. Această diferență este importantă: a demonstra măsurile luate, cum ar fi controlul accesului, copiile de siguranță și o procedură de incident, costă mai puțin decât un proces de certificare complet și poate fi suficientă pentru mulți cumpărători. Ce formă exact de dovadă cere un cumpărător, se găsește de obicei în chestionarul propriu-zis sau în explicația aferentă.
Pentru companiile care doresc să vadă ce întrebări apar frecvent în sectorul lor și ce stă în spatele acestora, există banca de cunoștințe în care subiectele au fost elaborate pentru fiecare situație. Acolo este explicat și cum o astfel de întrebare se raportează la alte subiecte dintr-o chestionare.
Ce face și ce nu face supplia.eu în acest proces
Supplia.eu nu certifică și nu apreciază dacă o companie respectă norma ISO; aceasta rămâne responsabilitatea organismului de certificare. Ceea ce face supplia.eu este să mențină răspunsurile care au fost date deja la întrebări despre securitatea informațiilor, pentru ca acestea să nu mai trebuie căutate din nou atunci când un următorul cumpărător trimite o chestionare similară. Acest abonament este separat de costurile unui proces de certificare; tarifele se găsesc pe pagina cu tarifele unui abonament.
Pasul inițial: a vedea exact ce se cere
Înainte ca o companie să pornească un proces, este recomandabil să clarificați mai întâi exact ce cere cumpărătorul și de ce. Uneori se dovedește că un certificat este dorit dar nu obligatoriu, și că o altă formă de dovadă este de asemenea acceptată. Cu câteva întrebări care arată unde vă aflați în prezent se clarificează în câteva minute de ce tip de întrebare este probabil vorba și ce direcție se potrivește.
Doriți să aflați cum se raportează securitatea informațiilor și chestionarele asociate la alte subiecte, cum ar fi NIS2 sau KYB? Pe pagina cu întrebări frecvente ale altor antreprenori se găsește o privire de ansamblu asupra întrebărilor care apar frecvent, iar scanarea rapidă gratuită vă arată în câteva minute pe care subiecte va fi probabilistică întrebată compania dvs.