El coste de implantar ISO 27001 es una cifra a tres años, no una primera factura: para una empresa de 46 a 65 personas, la certificación inicial son unos 10 días de auditor, de 12.000 a 18.000 EUR a 1.200 a 1.800 EUR por día, después auditorías de seguimiento en los años dos y tres de aproximadamente un tercio de eso cada una y una recertificación de aproximadamente dos tercios, más el tiempo interno para construir y mantener el sistema, que suele ser la partida mayor. La mayoría de las estimaciones citan la primera auditoría y se detienen ahí.
El ciclo
Año 0, certificación inicial. Fase 1 y fase 2, valoradas en días de auditor a partir de la tabla del Anexo B de ISO/IEC 27006. Una empresa de 46 a 65 personas está en torno a los 10 días; a 1.200 a 1.800 EUR por día, son de 12.000 a 18.000 EUR.
Años 1 y 2, seguimiento. Aproximadamente un tercio del tiempo de auditoría inicial cada año. El certificado se retira si se los salta.
Año 3, recertificación. Aproximadamente dos tercios del tiempo inicial, y el ciclo vuelve a empezar.
Así que el gasto en auditoría a lo largo de tres años es sustancialmente mayor de lo que sugiere la primera factura. La página de costes lo suma para su plantilla.
El coste interno, que suele ser mayor
Los días de auditor son la cifra visible. La invisible es el tiempo que dedica su propia gente, y se divide en dos.
Construir el sistema. Contexto, alcance, evaluación de riesgos, declaración de aplicabilidad sobre los 93 controles del Anexo A, políticas, un programa de auditoría interna, una revisión por la dirección. Esto se concentra al principio y es finito.
Mantenerlo en marcha. Esta es la parte que se repite, y es donde las implantaciones se vuelven caras sin hacer ruido. La evidencia tiene que existir para el periodo por el que pregunta el auditor. Una organización que la recoge sobre la marcha gasta un poco de forma continua; una que no lo hace gasta un bloque concentrado antes de cada auditoría, cada año, para siempre.
Lo que realmente lo reduce
Acote el alcance con honestidad. Esté listo en la fase 1. Y guarde los registros a medida que ocurren las cosas en lugar de reunirlos después, porque reunirlos es la mitad cara y se repite cada año.
El software es una partida pequeña frente a todo lo anterior. Lo que importa es si le deja registros fechados y completos el día en que un auditor los pide. Nuestra cobertura cláusula por cláusula expone lo que guardamos y lo que no.