Вартість сертифікації ISO 27001: від чого вона залежить насправді

З чого складається повна вартість ISO 27001

Коли керівник питає про ціну сертифікації, він зазвичай має на увазі рахунок від органу сертифікації. Насправді це лише одна з кількох статей витрат, і часто не найбільша. Повну картину варто ділити на чотири групи.

Перша група: зовнішній аудит. Це сертифікаційний аудит у два етапи, наглядові аудити в наступні роки і повторна сертифікація через три роки. Друга група: внутрішній час. Робота керівника проєкту, власників процесів, IT-команди, HR і керівництва над політиками, ризиками, впровадженням контролів і підготовкою доказів. Третя група: технічні заходи. Інструменти для управління доступами, журналювання, резервного копіювання, захисту пристроїв, тестування на проникнення, які можуть знадобитися для закриття прогалин. Четверта група: зовнішня допомога, якщо компанія вирішує залучити консультантів або навчити внутрішніх аудиторів.

Порівнювати пропозиції лише за першою групою небезпечно. Дешевий аудит не зменшить внутрішніх витрат, а погано підготовлена система може призвести до невідповідностей і додаткових перевірок.

Ще одна поширена пастка полягає в тому, що пропозиції непорівнянні між собою. Один орган включає в ціну лише перший рік, інший увесь трирічний цикл. Один враховує дистанційний аудит, інший виїзний з витратами на відрядження. Перш ніж порівнювати, зведіть усі пропозиції до однакового формату: кількість днів за етапами, вартість дня, додаткові витрати.

Аудиторські дні: головний фактор у пропозиції органу сертифікації

Вартість роботи органу сертифікації переважно визначається кількістю аудиторських днів. Акредитовані органи не встановлюють тривалість аудиту довільно. Вони спираються на вимоги стандарту ISO/IEC 27006, який визначає вимоги до органів, що сертифікують системи управління інформаційною безпекою, і містить методику розрахунку часу аудиту.

Базою розрахунку є кількість осіб, які працюють під контролем організації в межах системи управління. Сюди входять не лише штатні працівники, а й постійні підрядники, наприклад розробники, що працюють як ФОП. Далі орган коригує час з урахуванням складності: типу бізнесу, критичності інформації, кількості IT-платформ і мереж, обсягу розробки, використання аутсорсингу, рівня регуляторних вимог.

Тому, отримуючи пропозицію, попросіть орган сертифікації показати розрахунок: скільки днів заплановано на етап 1, етап 2 і наглядові аудити, яка кількість персоналу взята за основу і які коригування застосовано. Якщо два органи дають дуже різну кількість днів для однієї компанії, з'ясуйте причину.

Насторожувати має і пропозиція з помітно меншою кількістю днів, ніж у конкурентів. Скорочений аудит може не відповідати вимогам акредитації, а сертифікат від органу без визнаної акредитації ваші клієнти можуть просто не прийняти. Перевіряйте акредитацію на сайті відповідного національного органу з акредитації.

Для невеликих компаній значну частку часу займає етап 1, на якому аудитор оцінює документацію, межі системи і готовність до етапу 2. Якщо документи підготовлені якісно, етап 1 проходить без зауважень, і ви не витрачаєте час на повторні узгодження.

Фактори, які збільшують або зменшують бюджет

Нижче основні змінні, на які варто дивитися ще до запиту пропозицій. Деякі з них ви контролюєте, інші ні.

• Межі СУІБ (scope). Уся компанія чи лише один продукт, команда або локація. Вужчі межі зменшують кількість персоналу і процесів у перевірці, але межі мають бути логічними для клієнтів.
• Кількість працівників і підрядників у межах системи.
• Кількість локацій і необхідність виїзних перевірок. Для кількох майданчиків орган може застосовувати вибірку, якщо процеси однакові.
• Складність IT-середовища: кількість хмарних платформ, власних дата-центрів, продуктів, середовищ розробки.
• Обсяг власної розробки програмного забезпечення.
• Стартовий рівень зрілості: наявні політики, процеси управління доступами, реагування на інциденти, резервне копіювання.
• Мова аудиту і документації, необхідність перекладу або аудиторів зі знанням певної мови.
• Витрати на відрядження аудиторів, якщо аудит не проводиться дистанційно.
• Акредитація органу сертифікації і визнання сертифіката вашими клієнтами.

Трирічний цикл: плануйте не лише перший рік

Сертифікат ISO/IEC 27001 видається на три роки. Протягом цього періоду організація проходить щонайменше два наглядові аудити, зазвичай у другому і третьому році, а наприкінці циклу повторну сертифікацію. Наглядові аудити коротші за первинну сертифікацію, а повторна сертифікація за обсягом зазвичай ближча до первинної.

Крім того, система має працювати постійно: внутрішній аудит щонайменше в межах запланованої програми, аналіз з боку керівництва, оновлення оцінки ризиків, навчання персоналу, перегляд доступів, тестування резервного відновлення. Усе це потребує часу людей щороку.

Корисно скласти бюджет на весь трирічний цикл, а не лише на перший рік. Тоді стає зрозуміло, що найбільші постійні витрати пов'язані не з аудитором, а з підтриманням процесів у робочому стані.

Приховані витрати, про які часто забувають

Перша прихована стаття полягає в часі ключових людей. Технічний директор, керівник DevOps, HR-менеджер витрачають години на інтерв'ю, підготовку доказів і зміну процесів. Якщо цей час не запланувати, проєкт затягується, а основна робота страждає.

Друга стаття: закриття технічних прогалин. Оцінка ризиків часто виявляє, що потрібне централізоване управління пристроями, журналювання подій, система управління вразливостями або регулярне тестування на проникнення. Ці витрати пов'язані не з сертифікацією, а з реальним рівнем безпеки, але з'являються саме в цьому проєкті.

Третя стаття: виправлення невідповідностей. Якщо на етапі 2 аудитор виявить суттєву невідповідність, сертифікат не буде видано, доки ви не надасте докази коригувальних дій, а іноді знадобиться додатковий візит. Четверта стаття: перехід на нові версії стандарту. Наприклад, організації, сертифіковані за версією 2013 року, мали перейти на ISO/IEC 27001:2022 до 31 жовтня 2025 року, і це потребувало оновлення документації та аудиту переходу.

П'ята стаття стосується клієнтських вимог, які виходять за межі стандарту. Сертифікат не скасовує анкет безпеки від клієнтів, тестів на проникнення, які вони вимагають щороку, або перевірок постачальників. Ці витрати варто передбачити окремо, хоча наявність сертифіката зазвичай суттєво скорочує їх обсяг.

Як зменшити витрати без шкоди для результату

Найбільший вплив має правильно визначений обсяг. Почніть з тієї частини бізнесу, про яку питають клієнти, наприклад основного SaaS-продукту та команд, що його розробляють і підтримують. Розширити межі можна пізніше.

Другий спосіб: не створювати документів заради документів. ISO/IEC 27001 вимагає певної документованої інформації, наприклад меж системи, політики, методології оцінки ризиків, Statement of Applicability, результатів моніторингу, програми і результатів внутрішнього аудиту. Але немає вимоги мати сотні сторінок процедур. Компактна, реально працююча документація дешевша в підтримці і краще проходить аудит.

Третій спосіб: використовувати те, що вже є. Якщо у вас працюють тікет-система, CI/CD з обов'язковим рев'ю коду, хмарне управління доступами, ці інструменти можуть бути джерелом доказів без окремих журналів. Четвертий спосіб: інтегрувати з іншими системами. Якщо компанія планує ISO 9001 або ISO/IEC 42001, інтегрований аудит кількох стандартів зазвичай ефективніший, ніж окремі перевірки.

Нарешті, оцініть стартову точку до запиту пропозицій. Чим краще ви розумієте свої прогалини, тим точніше спланований бюджет і тим менше сюрпризів на аудиті.

Що запитати в органу сертифікації перед підписанням договору

Щоб порівнювати пропозиції коректно, ставте всім органам однакові запитання:

• Ким акредитований орган для схеми ISO/IEC 27001 і чи входить цей орган з акредитації до багатосторонніх угод IAF.
• Скільки аудиторських днів заплановано на кожен етап трирічного циклу і на якій кількості персоналу ґрунтується розрахунок.
• Чи включено в пропозицію наглядові аудити і повторну сертифікацію, чи вони оплачуються окремо.
• Чи проводиться аудит дистанційно, на місці чи комбіновано, і хто оплачує відрядження.
• Чи є досвід аудиту компаній вашої галузі і розміру, якою мовою працюватимуть аудитори.
• Які умови у разі виявлення суттєвої невідповідності і чи потрібен додатковий візит.

Перший крок: оцінка готовності

Будь-який бюджет на ISO 27001 буде здогадкою, доки ви не знаєте, наскільки далеко компанія від вимог. Оцінка розривів за розділами 4-10 і 93 контролями Додатка A показує, які процеси вже працюють, а які доведеться будувати з нуля. Саме це визначає внутрішні витрати і строки.

Корисно також оцінити, скільки часу ключові люди можуть реально виділяти на проєкт щотижня. Якщо команда завантажена релізами, проєкт розтягнеться, і це теж потрібно врахувати в плані, бо довгий проєкт коштує дорожче через втрату фокусу і повторну роботу.

Безкоштовна самооцінка на baltum.ai дає бал готовності до ISO 27001 і перелік прогалин, з яким легше планувати бюджет і говорити з органами сертифікації.

Стаття має інформаційний характер і не є юридичною консультацією. baltum.ai — незалежне програмне забезпечення, а не орган із сертифікації.