ISO 27001 sam vs. sa konsultantom vs. sa softverom — šta se realno isplati za firmu do 20 zaposlenih

 Treći tekst na blogu InfoSec bez stresa — posle "šta je ISO 27001" i "koliko realno košta", logično sledeće pitanje je: dobro, a kako da to sprovedem?

Realna situacija

Posle malo istraživanja, vlasnik manje firme obično naiđe na tri potpuno različita saveta. Jedan blog kaže: "ISO 27001 možete sami, uz besplatne šablone, za par meseci." Konsultantska firma kaže: "Bez iskustva, pašćete na auditu — angažujte nas." Reklama za softversku platformu obećava: "Sertifikacija za nekoliko nedelja, potpuno automatizovano."

Sva tri su delimično tačna, i sva tri prećutkuju nešto važno. Ovaj tekst pokušava da vam da poštenu sliku — ne koja je opcija "najbolja" uopšteno, nego koja opcija (ili, češće, kombinacija) ima smisla za firmu vaše veličine i vaše situacije.

Prvo: ovo nisu tri odvojena puta, nego tri sastojka

Najveća zabuna je što se DIY, konsultant i softver predstavljaju kao tri isključive opcije, kao da birate jednu od tri vrste automobila. U praksi, većina firmi do 20 zaposlenih završi sa nekom kombinacijom — recimo, interni tim koji sve radi sam, uz jednokratnu proveru od strane nezavisnog eksperta pred audit; ili softverska platforma za praćenje dokaza, uz konsultanta angažovanog samo za deo oko procene rizika. Pitanje nije "koje od tri", nego "koliko od svakog".

Opcija 1: Sam (DIY)

Šta to znači u praksi: interni tim — najčešće neko sa IT ili operativne pozicije — vodi ceo projekat: radi procenu rizika, piše politike i procedure (uz pomoć besplatnih šablona i istraživanja), organizuje dokaze u Excelu i deljenom folderu, priprema firmu za audit. Jedini eksterni trošak je sam audit kod sertifikacionog tela.

Prednosti:

• Najjeftinija opcija — plaćate samo audit, ne i implementaciju.
• Tim koji sve sam napravi duboko razume sopstveni sistem, a to se na auditu vidi — auditori prilično brzo prepoznaju kopiranu dokumentaciju koju niko u firmi ne razume, nasuprot procedurama koje osoba objašnjava svojim rečima.

Mane:

• Zahteva realno mnogo vremena od te osobe, tipično nekoliko meseci uz redovan posao — ovo je najveći skriveni trošak koji smo pokrili u prethodnom tekstu.
• Standard ima dosta "sivih zona" gde je lako pogrešno protumačiti šta se tačno traži, a greška se otkriva tek na auditu, kada je popravka skuplja i sporija.
• Nema eksternog pritiska da se rokovi drže — projekti bez konsultanta ili jasnog roka imaju tendenciju da se odugovlače mesecima duže nego što je planirano.

Kada ima smisla: nema hitnog roka (nijedan tender ili klijent to ne traži sutra), postoji neko unutar firme sa afinitetom za organizaciju i pisanje procedura, a osnovna IT higijena (backup, kontrola pristupa, i slično) je već solidna.

Praktičan savet koji štedi novac i nerve: čak i ako idete potpuno samostalno, isplati se platiti kratku, jednokratnu proveru kod nezavisnog eksperta pre zvaničnog audita — nešto poput "generalne provere" pred veliki ispit. To je mnogo jeftinije od propalog Stage 1 audita i gubljenja meseci na ponovno zakazivanje.

Opcija 2: Sa konsultantom

Šta to znači u praksi: postoje dva vrlo različita modela, i bitno je razlikovati ih pri traženju ponude:

• Pun angažman ("uradiće sve umesto vas") — konsultant piše dokumentaciju, vodi projekat, firma uglavnom odobrava i dostavlja informacije. Brže, ali nosi rizik: ako firma ne razume dobro sopstveni ISMS, teško ga održava sledeće godine kada konsultant ode.
• Savetodavni/coaching model — konsultant usmerava, proverava i uči tim, ali dokumentaciju i odluke pravi interni tim. Sporije na početku, ali firma na kraju stvarno zna kako sistem funkcioniše, što se isplati na nadzornim auditima u narednim godinama.

Prednosti:

• Znatno brži put do sertifikata, uz manji rizik da se padne na prvom auditu.
• Iskusan konsultant zna gde su tipične zamke, koje vaš interni tim, koji ovo radi prvi put, ne bi znao da traži.
• Manje internog vremena (mada ne nula — bez učešća firme, i najbolji konsultant ne može da napiše realan ISMS).

Mane:

• Najskuplja opcija (o rasponu cena i zašto se toliko razlikuju pisali smo u prethodnom tekstu).
• Kvalitet drastično varira. Ako konsultant koristi identičnu dokumentaciju za svakog klijenta, to se vidi na auditu i firma na kraju sama mora da je doradi.
• Rizik zavisnosti — ako firma nikad ne razume sopstveni sistem, svaka naredna godina zahteva ponovno plaćanje konsultanta za nešto što bi mogli sami.

Kako proveriti konsultanta pre potpisivanja: tražite konkretan primer dokumenta (npr. jedne politike ili procedure) koji su ranije napravili, ne generički prezentacioni materijal. Pitajte direktno da li rade po punom ili savetodavnom modelu, i tražite reference iz vaše ili slične branše.

Kada ima smisla: postoji jasan i blizak rok (tender, ugovor sa klijentom), niko iznutra nema prethodno iskustvo sa sličnim standardima, a budžet to dozvoljava.

Opcija 3: Sa softverom (ISMS/GRC platforma)

Šta to znači u praksi: specijalizovane platforme (na međunarodnom tržištu poznate su, na primer, Vanta, Drata, Secureframe, Sprinto, ISMS.online i slične) nude šablone politika, registar rizika, praćenje kontrola i — kod firmi koje su izraženo "cloud-native" — automatsko prikupljanje dokaza direktno iz alata koje već koristite (Google Workspace, Microsoft 365, AWS i slično).

Važno je razumeti šta ovakav alat ne radi: ne donosi umesto vas odluke o proceni rizika, ne razume sam po sebi vaše specifično poslovanje, i ne zamenjuje osobu koja treba da vodi ceo proces. Softver ubrzava administraciju i održavanje — ne zamenjuje razumevanje standarda.

Prednosti:

• Najveća korist nije u samoj prvoj sertifikaciji, nego u godinama posle nje — kontinuirano praćenje kontrola i dokaza čini nadzorne provere i resertifikaciju mnogo lakšim, umesto da se svake godine iznova traži gomila dokumenata.
• Struktura i podsetnici smanjuju rizik da se nešto zaboravi.
• Za firme koje već rade pretežno u cloud alatima, deo prikupljanja dokaza se automatizuje.

Mane:

• Mesečna/godišnja pretplata je trošak koji se ponavlja, za razliku od jednokratnog troška konsultanta.
• Šabloni i dalje moraju da se prilagode stvarnom poslovanju — najčešća zamka je verovanje da kupovina alata sama po sebi znači usaglašenost; auditor prepoznaje neizmenjen šablonski registar rizika isto lako kao i kopiranu Word dokumentaciju.
• Većina ovih platformi je razvijena i cenovno pozicionirana za američko i zapadnoevropsko tržište, retko ima podršku na srpskom jeziku, a stvarna korist je manja ako firma nije izrazito cloud-orijentisana.
• Za firmu od svega desetak do dvadeset ljudi, dobro organizovan Excel/SharePoint sistem prve godine često pokrije veliki deo iste svrhe — bez pretplate.

Kada ima smisla: firma je pretežno u cloud infrastrukturi (pa se dokazi zaista mogu automatski prikupljati), planira da bezbednosnu usaglašenost održava dugoročno i možda proširi na dodatne standarde (npr. uz klijente koji stalno traže nove dokaze), i ima budžet za rekurentni trošak.

Napomena: ovo je tržište koje se brzo menja — cene i ponuda platformi se menjaju iz meseca u mesec, pa vredi proveriti aktuelno stanje neposredno pre odluke, umesto oslanjanja na staru preporuku.

Šta se realno isplati za firmu do 20 zaposlenih

Bez univerzalnog odgovora, evo praktičnog vodiča po profilu firme:

• Nema hitnog roka, postoji neko unutra ko ima vremena i afinitet, IT higijena je već pristojna → DIY, uz jednu plaćenu eksternu proveru pred zvanični audit. Najjeftinija bezbedna kombinacija.
• Hitan rok (tender, ugovor), niko iznutra nema prethodno iskustvo → konsultant, po mogućstvu savetodavni model ako budžet i vreme dozvoljavaju, da firma ne ostane potpuno zavisna posle prve sertifikacije.
• Firma je cloud-native i planira dugoročno održavanje i širenje usaglašenosti → kombinacija internog vlasnika procesa i platforme za praćenje dokaza, uz po potrebi kratku konsultantsku podršku samo za deo oko procene rizika.

Najčešća greška kod firmi do 20 zaposlenih nije biranje "pogrešne" opcije — nego očekivanje da će jedna od ove tri, sama po sebi, rešiti sve, bez ijedne osobe unutar firme koja stvarno razume i vlasnički stoji iza sistema. To vlasništvo, bilo da dolazi uz DIY, uz konsultanta na savetodavnom modelu, ili uz softver, na kraju određuje da li će firma posle sertifikacije stvarno održavati sistem — ili će sledeće godine sve iznova plaćati nekog drugog da to uradi umesto nje.

Crvene zastavice, bez obzira na opciju

• "Sertifikacija za dve nedelje" — audit ima propisan minimalan broj dana zavisno od veličine firme; ako neko obećava da to zaobiđe, nešto nije u redu sa akreditacijom.
• Konsultant koji odmah nudi identičan paket dokumenata bez ijednog pitanja o vašem poslovanju.
• Softver koji obećava potpunu automatizaciju "bez ljudskog angažovanja" — neko u firmi i dalje mora da donosi stvarne odluke o riziku.

Šta sledi

U narednom tekstu ulazimo u konkretan korak koji, bez obzira koju kombinaciju izaberete, uvek ostaje na firmi: kako izgleda prva procena rizika za malu firmu, korak po korak, i zašto je to tačka koja najviše određuje koliko će vam ceo proces realno trajati.