Chcemy certyfikat ISO 27001. Od czego zacząć, żeby nie przepalić budżetu?

Sytuacja

Kontrahent wymaga certyfikatu w przetargu. Spółka matka chce jednolitego standardu. Albo zarząd uznał, że certyfikat uporządkuje temat raz na zawsze. Pojawiają się oferty "ISO w 6 tygodni" i pytanie, dlaczego u nas miałoby to trwać dłużej.

Co to naprawdę znaczy

ISO/IEC 27001 certyfikuje system zarządzania, nie dokumenty. Jednostka certyfikująca sprawdza, czy analiza ryzyka jest wasza, czy role są obsadzone, czy przeglądy się odbywają i czy są na to dowody z kilku miesięcy. System, który powstał w 6 tygodni i nie działał ani dnia, przechodzi audyt certyfikacyjny rzadko, a recertyfikację prawie nigdy.

Dobra wiadomość: jeśli podlegacie NIS2 lub uoKSC, większość wymagań ISO 27001 i tak musicie spełnić. Certyfikat to wtedy formalność, nie osobny projekt.

Co robimy w takiej sytuacji

1. Cyber Audyt gotowości: sprawdzamy, ile wymagań normy już spełniacie, i wskazujemy luki z priorytetami. Często okazuje się, że brakuje 30% systemu, nie 100%.
2. Cyber SZBI: wdrażamy brakujące elementy w 4-10 tygodni, warsztatowo, na waszych realiach. Analiza ryzyka, polityka, procedury, rejestry, plan ciągłości, szkolenie zespołu. System jest gotowy do audytu certyfikacyjnego.
3. Cyber Care: Zgodność 24/7 utrzymuje system między audytami: przeglądy, audyty wewnętrzne, aktualizacja pod nowe wersje normy. Recertyfikacja przestaje być projektem.

Dlatego w FortCyber

Sami działamy w systemie ISO/IEC 27001 i wiemy, co audytor sprawdza w drugim roku, nie tylko w pierwszym. Wdrożenie planujemy pod utrzymanie, więc koszt po certyfikacji jest przewidywalny, a nie odkrywany przy recertyfikacji.