Koliko realno košta implementacija ISO 27001 za malu firmu (i gde ljudi troše novac nepotrebno)

 Drugi tekst na blogu InfoSec bez stresa — odgovor na pitanje koje dolazi odmah posle „šta je ISO 27001": koliko će me ovo, realno, koštati?

Realna situacija

Vlasnik firme od 20 zaposlenih odluči da krene u sertifikaciju. Zatraži tri ponude. Prva stigne na 300.000 dinara, druga na milion, treća na skoro tri miliona — za, navodno, istu stvar. Nijedna ponuda ne objašnjava jasno šta tačno pokriva. Sledeći korak je obično odustajanje, ili biranje najjeftinije opcije bez pravog razumevanja šta se dobija — što se kasnije, na auditu ili kod klijenta, može pokazati kao skuplja greška od one koju je trebalo da izbegne.

Ovaj tekst postoji da razbije taj haos na delove koje možete da razumete i uporedite — i da vam pokaže gde ljudi realno bacaju novac, jer to je često isto toliko važno koliko i sama cifra na ponudi.

Prvo: „cena ISO 27001" nije jedna cifra

Ovo je najveći izvor zabune. Kada neko pita „koliko košta ISO 27001", u stvari pita o zbiru nekoliko potpuno različitih troškova, koji se ponašaju na različit način:

• Sertifikacija (eksterni audit) — ovaj deo je najformalizovaniji. Akreditovana sertifikaciona tela računaju trošak na osnovu broja takozvanih „audit-dana", a broj audit-dana zavisi pre svega od broja zaposlenih obuhvaćenih obimom sertifikacije, broja lokacija i kompleksnosti poslovanja. Ovo se zasniva na standardizovanoj metodologiji (ISO/IEC 27006), pa dve akreditovane kuće za istu firmu i isti obim ne bi trebalo da daju drastično različite brojeve audit-dana — ako daju, vredi proveriti zašto.
• Priprema i implementacija (konsultant, opciono) — ovo je najvarijabilniji deo i tu nastaje najveći deo razlike između ponuda. Raspon ide od „uradimo sve sami uz internog koordinatora" do potpunog angažovanja konsultantske kuće koja vodi ceo projekat.
• Interno vreme zaposlenih — skriveni trošak koji retko ko unese u tabelu, a često je najveći realni trošak za malu firmu. Neko mora da vodi projekat, piše procedure, sedi na sastancima, prikuplja dokaze.
• Tehnička ulaganja — ako firma već ima osnovne mere (kontrola pristupa, backup, dvofaktorska autentifikacija, upravljanje uređajima), ovaj trošak je mali. Ako ne, ovde nastaje najveće iznenađenje u budžetu.
• Alat za vođenje ISMS dokumentacije — na početku, za manju firmu, često je dovoljan dobro organizovan Excel i deljeni folder. Specijalizovane GRC platforme imaju smisla kasnije, kad sistem naraste.
• Obuka zaposlenih — osnovna edukacija o bezbednosti i pravilima firme, obično kratka i jeftina u odnosu na ostatak budžeta.
• Godišnji nadzorni auditi — u drugoj i trećoj godini trocikličnog sertifikata sertifikaciono telo dolazi na kraće, nadzorne provere. Obim je manji nego inicijalni audit, ali trošak postoji svake godine i lako se zaboravi kad se pravi prvobitni budžet.
• Resertifikacija — posle tri godine ceo ciklus se, u manjem obimu, ponavlja.

Kad ponude ne razdvoje ove stavke, upoređujete jabuke i kruške — jedna ponuda možda pokriva samo audit, druga uključuje i punu konsultantsku podršku, a treća uključuje i nabavku softvera koji vam možda uopšte nije potreban u prvoj godini.

Zašto lokalne ponude retko sadrže konkretnu cifru

Ako ste tražili cenu ISO 27001 implementacije na srpskom tržištu, verovatno ste primetili obrazac: skoro svaka konsultantska firma i sertifikaciono telo na sajtu ima rečenicu tipa „cena zavisi od veličine i kompleksnosti organizacije, pošaljite upit za ponudu" — bez ijedne konkretne cifre javno objavljene. To nije slučajnost niti pokušaj da se nešto sakrije; deo posla je zaista toliko zavisan od početnog stanja firme da bi javno objavljena „fiksna cena" često bila netačna već za sledećeg klijenta.

To znači da je na vama teret da tražite razložene ponude, a ne jednu cifru — i da uporedite bar dve do tri ponude po istim kategorijama iz prethodnog dela teksta, ne po ukupnom zbiru.

Kao orijentacija za red veličine: na razvijenim tržištima (SAD, Velika Britanija), gde su podaci javno dostupni, sam audit za firmu do 10 zaposlenih obično iziskuje oko pet audit-dana, uz cenu po danu koja se kreće u hiljadama dolara ili funti — dok konsultantska podrška za implementaciju kod manjih firmi ide u rasponu koji lako premaši sam audit nekoliko puta. Regionalna sertifikaciona tela i konsultanti u Srbiji i okruženju po pravilu rade po znatno nižim tarifama nego zapadnoevropske ili američke konsultantske kuće za uporedivu uslugu — što je još jedan razlog da se ne oslanjate na strane brojeve kao referencu za sopstveni budžet, već isključivo na konkretne, razložene ponude sa domaćeg tržišta.

Gde ljudi troše novac nepotrebno

Ovo je deo koji stvarno pravi razliku u budžetu — i najčešće se ne nalazi u marketinškim tekstovima konsultantskih firmi, iz razumljivih razloga.

Predimenzioniran obim sertifikacije. Ako firma ima jedan proizvod, jedan tim koji radi sa osetljivim podacima i tri ostala tima koja ih se ne tiču, a sertifikuje se cela firma — audit-dani, a time i cena, rastu bez stvarne potrebe. Pažljivo definisan obim (samo relevantni proizvod, tim ili lokacija) je najjeftiniji način da se smanji trošak, a da se ne izgubi ništa od stvarne vrednosti sertifikata.

Generička dokumentacija koja ne odgovara stvarnom poslovanju. Kupovina gotovog paketa politika i procedura zvuči kao prečica, ali ako dokumenti ne opisuju kako firma zaista radi, na auditu se to vidi odmah — a onda se dokumentacija ionako mora prepravljati, samo posle plaćenog paketa i izgubljenog vremena. Jeftinije je od početka pisati kraće i tačnije dokumente prilagođene stvarnim procesima, nego kupovati generički paket „za sve".

Konsultant angažovan pre interne procene stanja. Ako firma odmah plati punu konsultantsku uslugu bez da prvo interno prođe kroz osnovnu gap analizu — šta već imamo, šta nam fali — konsultant prvih nekoliko nedelja (koje se naplaćuju) radi upravo to isto što je tim mogao sam da uradi besplatno, samo sporije jer mu je to nova tema.

Skup softver kupljen prerano. Za firmu od 15-30 ljudi, u prvoj godini, mesečna pretplata na kompleksnu GRC platformu često je preskup i prekompleksan alat u odnosu na ono što je zaista potrebno. Struktuiran Excel/SharePoint sistem odrađuje posao dovoljno dobro dok se ne vidi da sistem stvarno naraste do te mere da mu treba specijalizovan softver.

Žurba i hitni termini. Ako se sertifikacija ostavi za poslednji trenutak pred rok tendera, sertifikaciona tela to prepoznaju i hitni termini se po pravilu naplaćuju skuplje. Planiranje unapred (realno, bar 6 meseci pre roka) izbegava ovaj dodatni trošak.

Biranje sertifikacionog tela isključivo po najnižoj ceni, bez provere akreditacije. Ovo je najskuplja moguća greška, jer se ne vidi odmah. Ako klijent, banka ili tender traže sertifikat od akreditovanog tela (što je uobičajen zahtev), a firma se sertifikovala kod neakreditovanog ili malo poznatog tela da uštedi, sertifikat jednostavno neće biti prihvaćen — i cela investicija, novčana i vremenska, mora da se ponovi kod pravog tela. Pre potpisivanja bilo koje ponude, proverite da li je telo akreditovano za ISO/IEC 27001 kod relevantne akreditacione institucije.

Paralelna infrastruktura umesto korišćenja postojećih alata. Firme koje već koriste Google Workspace ili Microsoft 365 sa uključenom dvofaktorskom autentifikacijom i kontrolom pristupa često nepotrebno kupuju dodatne, preklapajuće alate umesto da iskoriste i dokumentuju ono što već poseduju.

Budžetiranje samo za prvu godinu. Nadzorni auditi u drugoj i trećoj godini, obnavljanje treninga i priprema za resertifikaciju posle tri godine su realni, ponavljajući troškovi. Firme koje ih ne uračunaju od početka doživljavaju ih kao neprijatno iznenađenje — iako su potpuno predvidljivi.

Kako da napravite realan budžet

Pre nego što potpišete bilo šta, evo redosleda koji štedi i novac i nerve:

1. Uradite (ili platite kratku) internu procenu trenutnog stanja pre nego što tražite ponude — tako znate šta realno fali, umesto da to plaćate kao deo skupljeg paketa.
2. Definišite obim sertifikacije što je moguće preciznije, umesto „cela firma" po automatizmu.
3. Tražite od svakog ponuđača razloženu ponudu po kategorijama iz ovog teksta (audit / implementacija / softver / obuka), ne jedan zbirni broj.
4. Proverite akreditaciju sertifikacionog tela pre poređenja cena — dve ponude nisu uporedive ako jedna nije akreditovana.
5. Tražite bar dve do tri ponude i pitajte direktno šta je uključeno u nadzorne provere u drugoj i trećoj godini.
6. Planirajte budžet za sve tri godine ciklusa, ne samo za prvu.

Šta sledi

Cena je retko pravi razlog da se odustane od ISO 27001 — loše planiran budžet i pogrešan redosled koraka jesu. U narednom tekstu prolazimo kroz to kako izgleda prva procena rizika za malu firmu u praksi, korak po korak, jer je to tačka od koje realno kreće i tačna procena troškova iz ovog teksta.