Сколько стоит сертификация ISO 27001 в Грузии

Единой цены на ISO/IEC 27001 в Грузии нет. Итоговая сумма зависит от того, что входит в область сертификации, сколько подготовки вам нужно и сколько аудиторских дней орган по сертификации должен провести у вас.

Два бюджета, а не один

Компании в Тбилиси и Батуми часто спрашивают «цену сертификата». На практике вы платите за две разные вещи. Первая это подготовка: оценка несоответствий, оценка рисков, политики, внедрение мер обеспечения безопасности, обучение и внутренний аудит. Её можно провести силами своих сотрудников, с консультантом, например BALTUM, или в сочетании. Вторая это сам сертификационный аудит, который проводит аккредитованный орган по сертификации: он выдаёт сертификат и затем ежегодно проводит у вас аудит.

Эти бюджеты ведут себя по-разному. Стоимость подготовки зависит в основном от исходного уровня. Стоимость сертификации зависит в основном от размера и сложности области, потому что продолжительность аудита рассчитывается по правилам, которым орган по сертификации обязан следовать.

Аудиторские дни рассчитываются, а не обсуждаются

Аккредитованные органы по сертификации рассчитывают продолжительность аудита системы менеджмента информационной безопасности (СМИБ) по требованиям ISO/IEC 27006-1. Исходная цифра определяется численностью людей, работающих под управлением организации в пределах области, включая подрядчиков, которые работают как часть вашей команды. Затем аудитор корректирует её в большую или меньшую сторону с учётом таких факторов, как сложность IT-среды, количество площадок, аутсорсинг, регуляторные требования и зрелость уже действующей системы менеджмента.

Предложение, которое намного дешевле остальных, обычно означает либо меньше аудиторских дней, чем допускают правила, либо вовсе неаккредитованный сертификат. И то и другое создаёт проблемы позже, когда на сертификат смотрит банк, иностранный клиент или регулятор.

Что определяет цену для грузинской компании

Численность в области сертификации. Команда разработки из 25 человек и банк с 600 сотрудниками попадают в разные диапазоны продолжительности аудита ещё до учёта всех остальных факторов.
Площадки и удалённая работа. Офис в Тбилиси, филиал в Батуми и сотрудники, работающие из дома или из-за рубежа, должны быть охвачены. Действуют правила выборки для нескольких площадок, и некоторые площадки, возможно, придётся посетить.
Технологии и аутсорсинг. Собственный центр обработки данных, облачные платформы, внешняя разработка или управляемые услуги безопасности добавляют меры, которые нужно внедрить, и доказательства, которые нужно показать.
Регуляторные требования. Коммерческие банки соблюдают регулирование Национального банка Грузии по кибербезопасности. Организации, отнесённые к субъектам критических информационных систем, несут обязательства по Закону Грузии «Об информационной безопасности». Почти все обрабатывают персональные данные в соответствии с Законом Грузии «О защите персональных данных». Чем больше законодательных требований в области, тем больше работы по обработке рисков и тем больше доказательств для аудита.
Исходный уровень. Компании, у которой уже есть реестры активов, пересмотры прав доступа, проверенные резервные копии и записи об инцидентах, нужно гораздо меньше подготовки, чем компании, начинающей с нуля.
Язык и логистика. Документы можно вести на грузинском, английском или на обоих языках. Если аудитор не работает на языке вашей документации, перевод или переводчик увеличивают затраты времени.
Выбор органа по сертификации. У разных аккредитованных органов разные дневные ставки и транспортные расходы. Изменить минимальную продолжительность аудита они не могут.

Смотрите на трёхлетний цикл

Сертификат ISO 27001 действует три года при условии ежегодного надзора. Закладывайте бюджет на весь цикл:

Аудит первого этапа (анализ документации и готовности).
Аудит второго этапа (внедрение и результативность), после которого выдаётся сертификат, если не осталось открытых значительных несоответствий.
Первый надзорный аудит, примерно через год.
Второй надзорный аудит.
Ресертификационный аудит до истечения срока действия сертификата.

Затем добавьте внутренние затраты, которых нет ни в одном счёте: рабочее время сотрудников на СМИБ, средства защиты, которые, возможно, придётся купить, тестирование на проникновение, обучение осведомлённости и ежегодные внутренний аудит и анализ со стороны руководства.

Где компании переплачивают

Самый частый источник лишних затрат это область, которая шире, чем нужно бизнесу. Если вашим иностранным клиентам важна только платформа, которую вы разрабатываете и размещаете, область можно выстроить вокруг этой услуги, людей, которые её обеспечивают, и поддерживающих процессов. Расширить область можно позже.

Второй источник: покупка типового набора шаблонов, после которой всё приходится переписывать, потому что документы не соответствуют тому, как работает компания. Третий: оплата дешёвого сертификата, который клиент отклоняет, а затем повторная оплата аккредитованного. В статье о том, как выбрать орган по сертификации, объясняется, как проверить аккредитацию до подписания договора.

Как получить реалистичную оценку

Чтобы дать содержательную оценку, BALTUM и орган по сертификации запросят одни и те же базовые сведения:

юридическое лицо и услуги или продукты, которые вы хотите включить в область;
количество сотрудников и подрядчиков, работающих в пределах области;
перечень площадок и долю удалённой работы;
основные IT-платформы, хостинг и ключевые услуги на аутсорсинге;
применимое регулирование (банковское, критические информационные системы, персональные данные);
имеющиеся сертификаты, например ISO 9001 или ISO/IEC 27701.

С этими данными можно оценить количество аудиторских дней, а объём подготовки определить после короткой оценки несоответствий. Продолжительность проекта также зависит от области и от занятости вашей команды, поэтому мы определяем её после первичной оценки, а не обещаем фиксированную дату. Подробнее о требованиях стандарта на нашей странице ISO 27001.

Чтобы запросить оценку для вашей организации, воспользуйтесь формой на этом сайте или напишите на info@baltum.org, указав перечисленные выше сведения.

Частые вопросы

Есть ли фиксированная цена сертификации ISO 27001 в Грузии?

Нет. Органы по сертификации рассчитывают продолжительность аудита исходя из численности людей в области и сложности организации, а объём подготовки зависит от исходного уровня. Любая фиксированная цена, названная без этих данных, является догадкой.

Можно ли снизить стоимость, сузив область?

Да, если более узкая область всё равно охватывает то, чего ожидают ваши клиенты и регуляторы. Для компаний по разработке программного обеспечения обычна область, выстроенная вокруг одной услуги или платформы, и её можно расширить на одном из следующих аудитов.

Другие статьи в блоге BALTUM