რა ღირს ISO 27001 სერტიფიცირება საქართველოში

საქართველოში ISO/IEC 27001-ისთვის ერთიანი ფასი არ არსებობს. საბოლოო თანხა დამოკიდებულია იმაზე, რას შეიტანთ სფეროში, რამდენი მომზადება გჭირდებათ და რამდენ აუდიტის დღეს უნდა დაუთმოს თქვენს ორგანიზაციას სასერტიფიკაციო ორგანომ.

ორი ბიუჯეტი და არა ერთი

თბილისსა და ბათუმში კომპანიები ხშირად კითხულობენ „სერტიფიკატის ფასს“. პრაქტიკაში თქვენ ორ სხვადასხვა რამეში იხდით. პირველი მომზადებაა: ხარვეზების ანალიზი, რისკების შეფასება, პოლიტიკები, კონტროლის ზომების დანერგვა, ტრენინგი და შიდა აუდიტი. ამის გაკეთება შეგიძლიათ საკუთარი თანამშრომლებით, ისეთი კონსულტანტით, როგორიც BALTUM-ია, ან ორივეს კომბინაციით. მეორე თავად სასერტიფიკაციო აუდიტია, რომელსაც ატარებს აკრედიტებული სასერტიფიკაციო ორგანო. ის გასცემს სერტიფიკატს და შემდეგ ყოველწლიურად გიტარებთ აუდიტს.

ეს ორი ბიუჯეტი სხვადასხვაგვარად იცვლება. მომზადების ღირებულება ძირითადად თქვენს საწყის მდგომარეობაზეა დამოკიდებული. სერტიფიცირების ღირებულება ძირითადად სფეროს ზომასა და სირთულეზეა დამოკიდებული, რადგან აუდიტის დრო გამოითვლება წესებით, რომლებიც სასერტიფიკაციო ორგანომ უნდა დაიცვას.

აუდიტის დღეები გამოითვლება და არა შეთანხმდება

აკრედიტებული სასერტიფიკაციო ორგანოები ინფორმაციული უსაფრთხოების მართვის სისტემის (ISMS) აუდიტის დროს ISO/IEC 27006-1-ის მოთხოვნების მიხედვით ითვლიან. საწყისი მაჩვენებელი ეფუძნება იმ პირთა რაოდენობას, რომლებიც სფეროს ფარგლებში ორგანიზაციის კონტროლით მუშაობენ, მათ შორის კონტრაქტორებს, რომლებიც თქვენი გუნდის ნაწილად მუშაობენ. შემდეგ აუდიტორი ამ მაჩვენებელს ზრდის ან ამცირებს ისეთი ფაქტორების გათვალისწინებით, როგორიცაა IT გარემოს სირთულე, ობიექტების რაოდენობა, აუთსორსინგი, მარეგულირებელი მოთხოვნები და თქვენი მართვის სისტემის სიმწიფე.

თუ ფასი სხვებზე გაცილებით დაბალია, ეს ჩვეულებრივ ნიშნავს, რომ აუდიტის დღეები წესებით დაშვებულზე ნაკლებია, ან სერტიფიკატი საერთოდ არ არის აკრედიტებული. ორივე შემთხვევა მოგვიანებით ქმნის პრობლემებს, როცა სერტიფიკატს ბანკი, უცხოელი კლიენტი ან მარეგულირებელი შეამოწმებს.

რა განსაზღვრავს ფასს ქართული კომპანიისთვის

• სფეროში შემავალი თანამშრომლების რაოდენობა. 25-კაციანი პროგრამული გუნდი და 600-კაციანი ბანკი აუდიტის დროის სხვადასხვა კატეგორიაში ხვდებიან, ჯერ კიდევ სხვა ფაქტორების გათვალისწინებამდე.
• ობიექტები და დისტანციური მუშაობა. ოფისი თბილისში, ფილიალი ბათუმში და თანამშრომლები, რომლებიც სახლიდან ან საზღვარგარეთიდან მუშაობენ, ყველა უნდა იყოს მოცული. მოქმედებს მრავალობიექტიანი შერჩევის წესები და ზოგიერთ ობიექტზე შეიძლება ვიზიტი გახდეს საჭირო.
• ტექნოლოგიები და აუთსორსინგი. საკუთარი მონაცემთა ცენტრი, ღრუბლოვანი პლატფორმები, გარე შემსრულებლისთვის გადაცემული პროგრამული შემუშავება ან მართული უსაფრთხოების სერვისები: თითოეული ამატებს დასანერგ კონტროლის ზომებს და წარსადგენ მტკიცებულებებს.
• მარეგულირებელი მოთხოვნები. კომერციული ბანკები ემორჩილებიან საქართველოს ეროვნული ბანკის კიბერუსაფრთხოების რეგულაციას. კრიტიკული ინფორმაციული სისტემის სუბიექტებად განსაზღვრულ ორგანიზაციებს ვალდებულებები აქვთ საქართველოს კანონით „ინფორმაციული უსაფრთხოების შესახებ“. თითქმის ყველა ამუშავებს პერსონალურ მონაცემებს საქართველოს კანონის „პერსონალურ მონაცემთა დაცვის შესახებ“ შესაბამისად. რაც მეტი სამართლებრივი მოთხოვნაა სფეროში, მით მეტია სამუშაო რისკების დამუშავებაში და მით მეტი მტკიცებულებაა საჭირო აუდიტისთვის.
• თქვენი საწყისი მდგომარეობა. კომპანიას, რომელსაც უკვე აქვს აქტივების ინვენტარი, წვდომების გადახედვა, შემოწმებული სარეზერვო ასლები და ინციდენტების ჩანაწერები, გაცილებით ნაკლები მომზადება სჭირდება, ვიდრე ნულიდან დაწყებულს.
• ენა და ლოგისტიკა. დოკუმენტები შეიძლება იყოს ქართულად, ინგლისურად ან ორივე ენაზე. თუ აუდიტორი თქვენი დოკუმენტაციის ენაზე არ მუშაობს, თარგმანი ან თარჯიმანი დამატებით დროს მოითხოვს.
• სასერტიფიკაციო ორგანოს არჩევანი. სხვადასხვა აკრედიტებულ ორგანოს განსხვავებული დღიური განაკვეთი და მგზავრობის ხარჯები აქვს. აუდიტის მინიმალური დროის შეცვლა კი მათ არ შეუძლიათ.

შეხედეთ სამწლიან ციკლს

ISO 27001 სერტიფიკატი სამი წლით მოქმედებს, ყოველწლიური საზედამხედველო აუდიტის პირობით. ბიუჯეტი მთელი ციკლისთვის დაგეგმეთ:

1. პირველი ეტაპის აუდიტი (დოკუმენტაციისა და მზადყოფნის შემოწმება).
2. მეორე ეტაპის აუდიტი (დანერგვა და ეფექტიანობა), რის შემდეგაც სერტიფიკატი გაიცემა, თუ ღია მნიშვნელოვანი შეუსაბამობები არ დარჩა.
3. პირველი საზედამხედველო აუდიტი, დაახლოებით ერთი წლის შემდეგ.
4. მეორე საზედამხედველო აუდიტი.
5. რესერტიფიცირების აუდიტი სერტიფიკატის ვადის გასვლამდე.

ამას დაუმატეთ შიდა ხარჯები, რომლებიც არცერთ ანგარიშში არ ჩანს: თანამშრომელთა დრო ISMS-ისთვის, უსაფრთხოების ინსტრუმენტები, რომელთა შეძენაც შეიძლება დაგჭირდეთ, შეღწევადობის ტესტირება, ცნობიერების ამაღლების ტრენინგი, ყოველწლიური შიდა აუდიტი და ხელმძღვანელობის მიერ ანალიზი.

სად ხარჯავენ კომპანიები ზედმეტს

ზედმეტი ხარჯის ყველაზე გავრცელებული მიზეზი ისეთი სფეროა, რომელიც ბიზნესის საჭიროებაზე ფართოა. თუ თქვენს უცხოელ კლიენტებს მხოლოდ ის პლატფორმა აინტერესებთ, რომელსაც ქმნით და განათავსებთ, სფერო შეიძლება აიგოს ამ სერვისის, მისი მომსახურე ადამიანებისა და დამხმარე პროცესების გარშემო. სფეროს გაფართოება მოგვიანებითაც შეიძლება.

მეორე მიზეზი შაბლონების ზოგადი ნაკრების ყიდვაა, რის შემდეგაც ყველაფრის გადაწერა გიწევთ, რადგან დოკუმენტები კომპანიის რეალურ მუშაობას არ შეესაბამება. მესამე მიზეზი იაფი სერტიფიკატის ყიდვაა, რომელსაც კლიენტი არ იღებს, და შემდეგ აკრედიტებული სერტიფიკატისთვის ხელახლა გადახდა. ჩვენი სტატია სასერტიფიკაციო ორგანოს არჩევის შესახებ განმარტავს, როგორ შეამოწმოთ აკრედიტაცია ხელშეკრულების გაფორმებამდე.

როგორ მივიღოთ რეალისტური ფასის შეთავაზება

საფუძვლიანი შეფასების მოსამზადებლად BALTUM-ი და სასერტიფიკაციო ორგანო ერთსა და იმავე ძირითად ინფორმაციას მოგთხოვენ:

• იურიდიული პირი და სერვისები ან პროდუქტები, რომელთა შეტანაც გსურთ სფეროში;
• სფეროში მომუშავე თანამშრომლებისა და კონტრაქტორების რაოდენობა;
• ობიექტების ჩამონათვალი და დისტანციური მუშაობის წილი;
• ძირითადი IT პლატფორმები, სერვერული განთავსება და მთავარი გარე სერვისები;
• მოქმედი რეგულაცია (საბანკო, კრიტიკული ინფორმაციული სისტემები, პერსონალური მონაცემები);
• არსებული სერტიფიკატები, მაგალითად ISO 9001 ან ISO/IEC 27701.

ამ ინფორმაციით შესაძლებელია აუდიტის დღეების შეფასება, ხოლო მოსამზადებელი სამუშაოს მოცულობა მოკლე ხარვეზების ანალიზის შემდეგ განისაზღვრება. პროექტის ხანგრძლივობაც დამოკიდებულია სფეროზე და თქვენი გუნდის ხელმისაწვდომობაზე, ამიტომ მას პირველი შეფასების შემდეგ ვადგენთ და ფიქსირებულ თარიღს წინასწარ არ ვპირდებით. მეტი ინფორმაცია სტანდარტის მოთხოვნებზე იხილეთ ჩვენს ISO 27001 გვერდზე.

თქვენი ორგანიზაციისთვის შეფასების მისაღებად გამოიყენეთ ამ საიტის ფორმა ან მოგვწერეთ მისამართზე info@baltum.org და მიუთითეთ ზემოთ ჩამოთვლილი ინფორმაცია.

ხშირად დასმული კითხვები

არსებობს თუ არა ISO 27001 სერტიფიცირების ფიქსირებული ფასი საქართველოში?

არა. სასერტიფიკაციო ორგანოები აუდიტის დროს ითვლიან სფეროში შემავალი ადამიანების რაოდენობისა და ორგანიზაციის სირთულის მიხედვით, ხოლო მომზადების მოცულობა თქვენს საწყის მდგომარეობაზეა დამოკიდებული. ამ მონაცემების გარეშე დასახელებული ნებისმიერი ფიქსირებული ფასი მხოლოდ ვარაუდია.

შეგვიძლია თუ არა ხარჯის შემცირება სფეროს დავიწროებით?

დიახ, თუ ვიწრო სფერო მაინც მოიცავს იმას, რასაც თქვენი კლიენტები და მარეგულირებლები ელიან. ერთი სერვისის ან პლატფორმის გარშემო აგებული სფერო პროგრამული უზრუნველყოფის კომპანიებისთვის ხშირია და მისი გაფართოება შემდგომ აუდიტზე შეიძლება.

სხვა სტატიები BALTUM-ის ბლოგში