Кога 24 седмици са нереалистични: дайте си 36

Ако компанията няма SSO (Google Workspace или Microsoft 365 като единствен централен идентификатор), няма MDM на ноутбуците, няма централизиран мениджър на пароли, или работи без писмени договори с подизпълнители - 24 седмици не са реалистични. Дайте си 36 седмици и направете проекта с уважение към собствения си капацитет. Сертификат от 24-седмичен проект под напрежение струва същото, колкото сертификат от 36-седмичен проект с дишане - и двата минават първата ресертификация без проблем.

Изключенията в SoA не са срамни

Декларацията на приложимост (Statement of Applicability) изисква от вас да обясните защо някои от 93-те контрола в Анекс А не се прилагат. Това е НОРМАЛНО. Софтуерна компания без производствена линия с право изключва A.7.10 (контрол на физическия достъп до зони за товарене). Без държавни договори с гриф - изключва A.5.27 (поверителна информация). Целта на SoA не е "100% контроли да са вкл."; целта е "честен запис кои се прилагат и кои не, с обяснение защо". Одиторът цени честното изключение по-високо от формално приложен, но реално несъществуващ контрол.

Грешка 1. Купуване на Vanta/Drata преди седмица 9

Тези платформи са брилянтни за автоматизация на доказателства, но в първите 8 седмици нямате на какво да ги "закачите". Конфигурация без ясни политики и без yet-to-be-defined контроли се повтаря по-късно. Изчакайте до седмица 9, когато техническите контроли са на място, и автоматизирайте оттам нататък. Спестявате 8 000-14 000 лв. и три седмици разкарване на платформа, която още не сте сигурни дали ще използвате.

Грешка 2. Прекалено широк обхват

"Да включим всичко за всеки случай" е изречение, което струва скъпо. Всеки излишен продукт, локация или дейност в обхвата добавя 12-30 часа документация плюс още толкова време на одитора. Започнете тясно (един основен продукт + основната инфраструктура) и разширявайте при надзорни одити. Намалявате риска от провал и можете да сертифицирате допълнителен обхват без пълна ресертификация.

Грешка 3. Резервация на сертификатор от седмица 18 вместо седмица 4

Акредитираните органи са натоварени. Bureau Veritas, TUV Rheinland и SGS често нямат свободен слот на 8-10 седмици напред. Ако не сте резервирали, чакате. От нашите 11 проекта, 3 загубиха по 4-6 седмици защото началната резервация е била късна. Резервацията е безплатна и може да се отмени до 30 дни предварително без неустойка - правете я в седмица 3-4 на проекта.

Грешка 4. Игнориране на 2-3 месечния оперативен период

Не можете да преминете фаза 2 без 60-90 дни доказателства, че ИСМС е работила в нормален режим. Това означава, че от 24-та седмица, ИСМС трябва да е била "жива" вече от поне 12-та седмица. Тийми, които започват ИСМС в седмица 18, не приключват в седмица 24 - приключват в седмица 34. Изградете календар, в който ИСМС "започва да работи" в седмица 12 и работи без съществени промени до фаза 2.

Грешка 5. Подценен вътрешен одит

"Ще го направим за един следобед" е изречение, което завършва с 10-15 несъответствия в фаза 2. Качествен вътрешен одит за софтуерна компания с 40-60 души изисква 50-70 часа на одитора плюс 30-40 часа от страна на одитираните. Ако нямате независим вътрешен одитор, наемете - 4 800-12 000 лв. за две седмици са инвестиция, която плаща за себе си многократно.

Може ли проектът да приключи за 16 седмици вместо за 24?

Само ако ИСМС вече е била частично имплементирана преди старта на проекта. Конкретно: ако имате документирани политики (поне 8-10 от 25 типични), SSO с условен достъп, MDM на >90% от устройствата, секрет мениджмънт, и са изтекли поне 60-90 дни от последната съществена промяна на тези контроли - тогава 16 седмици са възможни. От 11-те проекта, 1 е минал за 18 седмици, защото компанията вече беше преминала SOC 2 Type 2. Останалите 10 - между 24 и 32 седмици.

Какво се случва, ако не минем фаза 2 от първи опит?

Зависи от типа несъответствия. Малки несъответствия (commonly "minor non-conformities") - сертификатът се издава след представяне на план за корекция в 30 дни. Големи несъответствия ("major non-conformities") - сертификатът не се издава, прави се повторен фокусиран одит след 60-90 дни (по-евтин от пълен фаза 2 - типично 30-50% от цената). От 11 проекта, 1 имаше едно голямо несъответствие (липсваща писмена процедура за реакция на инциденти, която беше изпратена устно като "ще го документираме" в седмица 19) - сертификатът беше издаден 2 месеца по-късно.

Трябва ли да имам отделен човек по сигурност на пълно работно време?

Не. За софтуерна компания с под 100 души vCISO на 8-12 часа седмично през проекта е достатъчно (типична цена 3 600-6 400 лв./месец). След сертификацията поддръжката изисква 4-8 часа седмично, което може да се поеме от вътрешен инженер с допълнително 10-15% натоварване. Цялостен CISO на пълно работно време има смисъл при 150+ души или при значителни регулаторни задължения (NIS2 за съществен субект, DORA, GDPR с висок риск, ISO 27001 + SOC 2 паралелно).

Кой пише политиките - vCISO, юрист или мениджърите?

vCISO ги пише или адаптира от шаблон, мениджърите ги одобряват, юристът ги преглежда за съответствие с българското законодателство (ЗЗЛД, ЗКС, GDPR транспозиция). Първата версия на 25-те типични политики се пише за 60-90 часа от vCISO, прави се преглед от собствениците на процеси (30-45 часа), и финално одобрение от ръководството (10-15 часа). Не започвайте от празен лист - 80% от текста може да дойде от стандартен шаблон, който се адаптира към реалните ви процеси.

Има ли разлика между ISO/IEC 27001:2013 и 27001:2022?

Да, и тя е значителна. ISO 27001:2022 е новата версия (издадена октомври 2022 г.), Анекс А вече има 93 контрола в 4 групи (вместо 114 в 14 групи в 2013-та). Преходът беше задължителен до 31 октомври 2025 г.; всички сертификати по 2013-та вече са невалидни. Ако някой консултант ви предлага "ISO 27001:2013" - бягайте. Ако имате стар сертификат по 2013-та, той трябваше да бъде преиздаден през 2025 г.; ако не - вашата компания няма валиден ISO 27001.

Какво да правя през 36-те месеца между две ресертификации?

12 и 24 месеца след сертификацията: надзорни одити, които покриват 1/3 от контролите всеки път (така че за 36 месеца са покрити всички 93). Между одитите: тримесечни прегледи от ръководството, продължаващо събиране на доказателства, актуализация на регистъра на риска при значителни промени (нов продукт, нова локация, нова значима интеграция), две тренировки по реакция на инциденти годишно. Надзорните одити струват около 40% от цената на сертификацията; ресертификацията на 36-ия месец струва около 70%.