La certificación ISO 27001 más barata que merece la pena es un presupuesto de un organismo acreditado para ISO/IEC 27001 cuyos días de auditor coinciden con el Anexo B de ISO/IEC 27006 para su plantilla: unos 5 días hasta 10 personas, 7 de 16 a 25, 10 de 46 a 65 y 12 de 86 a 125, a aproximadamente 1.200 a 1.800 EUR por día entre organismos europeos. Un presupuesto muy por debajo de esa banda significa menos días, un alcance más estrecho del que pidió, o un organismo no acreditado para esta norma, y un certificado no acreditado es de los que los equipos de compras rechazan.
Pida tres presupuestos, y compare los días
Pida a cada organismo el número de días de auditor detrás de la cifra, desglosado en fase 1 y fase 2. Esa es la unidad honesta. La acreditación sujeta a los organismos de certificación a la tabla de tiempos de auditoría del Anexo B de ISO/IEC 27006, que dice aproximadamente:
| Personas | Días de auditor |
|---|---|
| hasta 10 | 5 |
| 16 a 25 | 7 |
| 46 a 65 | 10 |
| 86 a 125 | 12 |
A 1.200 a 1.800 EUR por día entre organismos europeos acreditados, dos presupuestos para la misma plantilla deberían caer en la misma zona. Uno drásticamente más bajo suele ser menos días, un alcance más estrecho del que pidió, o un organismo cuya acreditación no cubre lo que necesita.
La comprobación que importa más que el precio
Acreditación, y para esta norma en concreto. Un organismo acreditado para ISO 9001 no está por ello acreditado para ISO/IEC 27001. La acreditación se concede por norma, y un certificado de un organismo no acreditado es un documento que el equipo de seguridad de su cliente puede simplemente rechazar.
Compruebe el alcance usted mismo en el registro público del organismo de acreditación en lugar de aceptar una afirmación comercial. Cómo encontrar y verificar uno recorre los registros.
Presupueste el ciclo, no la auditoría
Un certificado dura tres años y conlleva auditorías de seguimiento de aproximadamente un tercio del tiempo de auditoría inicial cada año, y después una recertificación de unos dos tercios. La primera auditoría más barata no son los tres años más baratos si el organismo es difícil de tratar, y cambiar de organismo a mitad de ciclo suele significar pagar una auditoría de transferencia.
De lo que no puede librarse pagando
Los registros. La certificación depende de si su sistema de gestión funciona y de si puede demostrarlo, durante un periodo. Esa es la parte que ningún presupuesto cubre y ningún descuento reduce, y ahí está el coste interno. Nuestra cobertura cláusula por cláusula indica lo que guardamos por usted y, igual de importante, lo que no.