ISO 27001 krok po kroku. Ile trwa, ile kosztuje, od czego zacząć.
No to demitologizujemy ISO 27001. Nie certyfikat na ścianę, tylko system, który ma realnie działać. I tak, da się to ogarnąć bez paniki.
No i znowu to samo pytanie: “ile to potrwa i ile kosztuje”. Dobra odpowiedź brzmi: zależy. Lepsza: od pół roku do półtora, a koszt rozjeżdża się od kilkunastu tysięcy za sam audyt do kilkuset tysięcy za pełne wdrożenie z konsultantami. Rozbijmy to na konkrety.
TL;DR
- Wdrożenie ISMS to najdłuższy etap: zwykle 4 do 12 miesięcy
- Cały proces do certyfikatu: realnie 6 do 18 miesięcy
- Sam audyt certyfikacyjny (etap I + II): orientacyjnie 8 do 14 tys. zł netto, plus audyty nadzoru co roku
- 93 kontrole Annex A (wersja 2022), ale wdrażasz tylko te, które wynikają z ryzyka
Co to właściwie jest
ISO/IEC 27001 to standard systemu zarządzania bezpieczeństwem informacji (ISMS). Słowo klucz: system. Nie zbiór dokumentów do szuflady, tylko żywy mechanizm, w którym ryzyko napędza kontrole, a kontrole mają dowody. Certyfikat to tylko potwierdzenie, że ten mechanizm działa.
Krok 1: analiza luk (gap analysis)
Zaczynasz od mapy “gdzie jesteś vs gdzie masz być”. Co już masz, czego brakuje, gdzie są dziury. To tydzień, może dwa, ale oszczędza miesiące błądzenia. Bez tego wdrażasz na ślepo.
Krok 2: ISMS, czyli rdzeń roboty
Najdłuższy etap. Zakres systemu, polityki, analiza ryzyka, wybór kontroli z Annex A i deklaracja stosowania (SoA). Tu jest sedno: kontrole nie biorą się z sufitu, tylko z ryzyka. Masz ryzyko, dobierasz kontrolę, wdrażasz, zbierasz dowód.
Krok 3: audyt wewnętrzny
Zanim przyjdzie zewnętrzny audytor, sprawdzasz się sam. Miesiąc, dwa. Wyłapujesz niezgodności, domykasz. To także wymóg normy, nie opcja.
Krok 4: certyfikacja (etap I i II)
Jednostka certyfikująca robi przegląd dokumentacji (etap I), potem audyt na miejscu (etap II). Łącznie kilka tygodni. Potem co roku audyt nadzoru, a co trzy lata recertyfikacja. Certyfikat to nie meta, to początek utrzymania.
Ile to realnie kosztuje
Sam audyt certyfikacyjny to orientacyjnie 8 do 14 tys. zł netto, audyty nadzoru 3,5 do 5 tys. rocznie. Pełne wdrożenie z zewnętrznymi ekspertami potrafi sięgnąć 150 do 350 tys., zależnie od wielkości i liczby lokalizacji. Największy ukryty koszt to czas Twojego zespołu, nie faktury.
Gdzie to się sypie i jak nie utonąć w Wordzie
Najczęstszy zgon ISO 27001: dokumentacja w kilkunastu plikach Word, która po trzech miesiącach przestaje odpowiadać rzeczywistości. Audytor pyta o dowód, a Ty szukasz po dyskach.
Dlatego my prowadzimy to jako dane, nie pliki. W module ISO 27001 masz 93 kontrole, dowody podpięte do kontroli i mapowanie na inne regulacje, a w module CISO cały warsztat ISMS na jednym pulpicie. Ryzyko liczy Risk Engine, a Ty zamiast zbierać dowody dniami, klikasz eksport. Pozamiatane.
Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.