A kérdőív problémája
A kis szoftvercégek negyedévente vesztenek el vállalati üzleteket. Az ok ritkán a termék. A papírmunka az.
A vállalati vásárlók hosszú biztonsági kérdőíveket küldenek ki. Egy tipikus formanyomtatvány 150 kérdést tartalmaz. Formális kockázatértékelésről, változáskezelésről és korábbi audit-nyilvántartásokról kérdez. A legtöbb kis csapatnak nincs dedikált biztonsági szakembere. Minden formanyomtatvány kitöltése 40–80 órányi munkát vesz igénybe. Ez az idő elvész a termékfejlesztéstől és az ügyfélszolgálattól.
A szoftver sokszor nem is biztonságtalan. A csapat egyszerűen nem tudja elég gyorsan igazolni.
Az ISO 27001 tanúsítvány megoldja ezt. A tanúsítvány és az Alkalmazhatósági Nyilatkozat megválaszolja a 150 kérdéses formanyomtatvány legtöbb pontját. Egy tanúsított szállítónak nem kell minden új üzletnél nulláról összeraknia a bizonyítékfájlt. A tanúsítvány maga a bizonyítékfájl.
Az értékhozzáadás az ellátási láncon lefelé áramlik
Az ISO 27001 értéke nem áll meg az első vásárlónál. Lefelé áramlik az ellátási láncon.
Vegyünk egy jogi technológiai startupot, amely tanúsított anonimizálási eszközt használ a személyes adatok kezeléséhez. Ennek a startupnak saját vállalati ügyfelei vannak. Ezek az ügyfelek megkérdezik: „Milyen tanúsítványokkal rendelkezik a személyes adatok kezeléséhez használt eszközük?” A startup belefoglalja az anonimizálási eszköz ISO 27001 tanúsítványát a válaszába. A vállalati biztonsági csapat felülvizsgálja, és lezárja az értékelési pontot.
A startup nem végezte el maga az audit az eszközön. A tanúsítvány elvégezte ezt a munkát. Egyetlen tanúsított szállító csökkenti a megfelelőségi terhet minden felette álló vállalkozás számára a láncban.
Költségek és megtérülés
Egy kezdeti ISO 27001 audit 15 000–50 000 euróba kerül. Az éves felülvizsgálat további költséget jelent. Szabályozott piacon működő szállítók számára ez a befektetés sokszor már az első két-három lezárt vállalati üzlettel megtérül – olyan üzletekkel, amelyek a tanúsítvány nélkül megakadtak volna.
A vállalati vásárlók szintén nyernek. Időt takarítanak meg az értékelési munkán. Független igazolást kapnak az önbevallás helyett. Megmutathatják saját auditoraiknak, hogy az ellátási láncuk dokumentált biztonsági kontrollokkal rendelkezik.
A tanúsítvány visszatérő ügyleti költségből egyszeri befektetéssé alakítja a megfelelőséget. Minden új vállalati érdeklődő rövid választ kap: itt a tanúsítvány, itt a kibocsátó, itt a dátum.
A DORA ICT-szállítói menedzsmentről és az ISO 27001-ről a szabályozói szempontból szóló DORA ICT vendor management és ISO 27001 útmutatónkban olvashat. A kisebb csapatok tágabb megfelelőségi keretrendszeréről a vállalati személyesadat-megfelelőség startup büdzséből szóló cikk nyújt áttekintést. A biztonsági kérdőívről és az értékesítési ciklus rövidítéséről szóló útmutató bemutatja, hogyan rövidíti le a tanúsított architektúra a beszerzési folyamatot.