פתרונות / המצב
ISO 27001, מונע לפי תאריך העסקה, לא לפי לוח הביקורות.
לא קמתם בבוקר בתשוקה למערכת ניהול. לקוח הכניס הסמכה לחוזה, ועכשיו תקן שנכתב לארגונים גדולים נחת על חברה שאין לה צוות אבטחה. השאלה שאתם שואלים אינה "איך מקבלים הסמכה"; היא "מהי הדרך הכנה הקצרה ביותר לחתימה".
ISO 27001 הפכה להוכחת האמון הדיפולטיבית ברכש ארגוני, ומדיניות הספקים של הקונה שלכם אינה כוללת חריג לחברה של 60 עובדים. התעודה היא כעת תנאי מסחרי מוקדם, מתומחר בתוך העסקה שאתם מנסים לסגור.
מה זה עולה לכם
- הכנסות חסומות מאחורי תעודה שאין לכם, עם דדליין שהלקוח קבע ולא אתם.
- פרויקט שמובל על ידי יועץ יכול לבלוע חודשים מהלוח של ה-CTO שלכם בסדנאות וסקירת מסמכים.
- גישה של "קלסר-ותעודה" עוברת את הביקורת ואז מתפוררת: הבקרות נסחפות, וביקורת המעקב הבאה תמצא אתכם.
- כל חודש של עיכוב הוא חודש שבו המתחרה שכבר יש לו את התעודה נמצא בחדר ואתם לא.
מה אנחנו עושים
הערכת פערים מול העסקה, לא מול האידיאל
אנחנו מודדים איפה אתם עומדים מול נספח A ואומרים לכם את המרחק האמיתי להסמכה, ואילו חלקים הלקוח שלכם יקבל כ"בתהליך".
אנחנו מתחמים את זה למה שאתם מוכרים
ההיקף הוא המנוף היחיד הגדול ביותר על עלות וזמן. אנחנו מתווים את גבול ה-ISMS סביב המוצר והתשתית שהלקוח שלכם מתעניין בהם, לא סביב כל החברה.
אנחנו בונים את ה-ISMS ומפעילים אותו
מדיניות, מרשם סיכונים, מלאי נכסים, סקירות ספקים, סקירות הרשאות, ביקורת פנימית, סקירת הנהלה. אנחנו עושים את העבודה; האנשים שלכם מספקים עובדות, לא זמן פנוי.
אנחנו מלווים אתכם דרך ביקורת ההסמכה
שלב 1 ושלב 2 מול גוף מוסמך, כשאנחנו בחדר. הממצאים מטופלים על ידינו, לא מועברים אליכם.
אנחנו שומרים על זה חי אחרי התעודה
ה-ROC מפעיל את ה-ISMS ברציפות: ראיות נאספות, סקירות מבוצעות, סחיפה נתפסת בין ביקורות, כך שהמעקב הוא פורמליות ולא תרגיל כיבוי אש.
כמה זמן לוקחת הסמכת ISO 27001 לחברה קטנה?
מנקודת התחלה, שישה עד תשעה חודשים לשלב 2 עבור חברה טיפוסית של 50-500 עובדים. הרצף קבוע: הערכת פערים ותיחום (2-4 שבועות), בניית ה-ISMS (מדיניות, מרשם סיכונים, מלאי נכסים, סקירות ספקים והרשאות, 2-4 חודשים), תקופת הפעלה שבה הבקרות פועלות בפועל ומפיקות ראיות (בדרך כלל לפחות 2-3 חודשים, כי המבקר חייב לראות את המערכת עובדת), ואז ביקורות שלב 1 ושלב 2. תקופת ההפעלה היא הסיבה שטענות על הסמכה ב-30 יום אינן אמיתיות.
כמה עולה הסמכת ISO 27001?
העלות מתפצלת לשניים: גוף ההסמכה (דמי ביקורת קבועים לפי מספר עובדים והיקף, המשולמים לרשם מוסמך) והעבודה של בניית והפעלת ה-ISMS. ההיקף הוא המנוף הגדול ביותר. הסמכת מוצר אחד וסביבת הענן שלו עולה משמעותית פחות מהסמכת חברה שלמה. העלות המתמשכת היא החלק שרוב החברות מפספסות: ביקורות מעקב מדי שנה והעבודה הפנימית לשמור על הבקרות פועלות ביניהן.
האם ISO 27001 מספיקה כדי לספק לקוח ארגוני?
בדרך כלל, לשאלת האמון, אבל היא אינה מבטלת את השאלון של הלקוח עצמו, את תנאי האבטחה החוזיים שלו, או את זכותו לבקש ראיות במהלך החוזה. תעודה מוכיחה שמערכת ניהול התקיימה בתאריך הביקורת. קונים ארגוניים שואלים יותר ויותר מה קורה בין תאריכי ביקורת, ולכן הראיות מאחורי התעודה חשובות יותר מהתעודה עצמה.