Ile kosztuje wdrożenie SZBI

Od czego zależy cena wdrożenia SZBI

Cena zależy od liczby roboczodni, a nie od liczby dokumentów. Liczba dni wynika z wielkości podmiotu, liczby lokalizacji, w których pracuję na miejscu, oraz liczby wyjazdów szkoleniowych. Stawka jest jedna: 2 000 zł netto za roboczodzień, czyli tyle samo, co 8 godzin przy stawce testów penetracyjnych i audytów.

Wielkość podmiotu wpływa na zakres analizy ryzyka: im więcej komórek organizacyjnych, systemów i właścicieli aktywów, tym więcej wywiadów i mapowania. Podmiot do 50 pracowników ma z reguły kilkanaście aktywów do opisania, podmiot powyżej 150 — kilkadziesiąt.

Dwa kroki, dwie wyceny

Analiza ryzyka z mapowaniem informacji na aktywa to krok weryfikacyjny: pokazuje, czy istniejący system zarządzania da się utrzymać, czy trzeba go zbudować na nowo. Dla małego podmiotu to 3 roboczodnie, dla średniego 5, dla dużego 8 — plus jeden dzień za każdą lokalizację powyżej pierwszej.

Wdrożenie SZBI to pełna budowa systemu wynikającego z analizy ryzyka: dokumentacja, procedury, rejestr ryzyka, szkolenie zespołu i nadzór nad wdrażaniem. Dla małego podmiotu to 7,5 roboczodnia bazowo, dla średniego 13,5, dla dużego 21 — plus 1,5 dnia za każdą dodatkową lokalizację i plus wyjazdy szkoleniowe.

Warto zacząć od analizy ryzyka, jeśli nie mają Państwo pewności, czego potrzebują: jej wynikiem jest wniosek — utrzymać istniejący system czy budować na nowo — i dopiero na tej podstawie sensownie planuje się wdrożenie.

Co składa się na roboczodnie

Wdrożenie rozkłada się na trzy części:

• Analiza ryzyka i mapowanie informacji na aktywa — 40% czasu, na miejscu: inwentaryzacja aktywów i ich właścicieli, mapowanie informacji na aktywa, klasyfikacja, ocena zagrożeń i podatności.
• Dokumentacja SZBI wynikająca z analizy — 40% czasu, zdalnie: polityka bezpieczeństwa informacji, procedury, instrukcje, rejestr ryzyka, karty aktywów.
• Spotkania kontrolne nad wdrożeniem — 20% czasu, zdalnie, przez Teams: nadzór nad pracami prowadzonymi przez podmiot, konsultacje, wyjaśnienia i weryfikacja, że procedury wchodzą w życie.

Zwracam uwagę na jedno: wprowadzenie procedur w życie to praca własna podmiotu. Nie da się jej wykonać za Państwa i nie wyceniam jej jako mojej pracy. Moja rola kończy się na przygotowaniu dokumentacji, przeszkoleniu zespołu i nadzorze — to Państwo wykonują zmiany w organizacji.

Szkolenie zespołu — jak je rozliczam

Przeszkolenie prowadzę w grupach do 20 osób, bo większa grupa to tłum, w którym nikt nie uzyskuje uwagi, a szkolenie z SZBI bez możliwości pytania jest bezwartościowe. Sesja grupowa zajmuje około 3 godzin, bo omawiamy dokumentację w zakresie dotyczącym danej grupy.

Rozliczenie idzie wyjazdami, nie godzinami: wyjazd na szkolenie to jeden roboczodzień, a w jego ramach mieszczą się najwyżej dwie grupy. Przy dojeździe 200–300 km w jedną stronę trzy grupy w jednym dniu są nierealne — i wolę to powiedzieć wprost w wycenie, niż obiecywać harmonogram, którego nie da się wykonać. Liczbę grup wyliczam z liczby osób, a liczbę wyjazdów z liczby grup — dla podmiotu ze 100 pracowników to 5 grup i 3 wyjazdy, czyli 3 dodatkowe roboczodnie.

Orientacyjne kwoty

Liczby poniżej wyliczyłem tym samym wzorem dla typowych podmiotów. Kwoty netto, widełki ±20%.

Pełny model — razem z liczbą grup i wyjazdów szkoleniowych — jest w kalkulatorze. Jedno źródło prawdy dla tych liczb to plik cennik.json.

Co zwiększa, a co zmniejsza kwotę

Kwotę podnoszą: liczba pracowników powyżej progu danej wielkości (każde 20 osób to kolejna grupa szkoleniowa), więcej niż jedna lokalizacja, brak analizy ryzyka (trzeba ją wykonać jako część wdrożenia), rozproszone i wersjonowane dokumenty oraz wdrożenie prowadzone równolegle z innymi projektami, bo wydłuża to kalendarz. Kwotę obniżają: aktualna analiza ryzyka i rejestr aktywów, jedno miejsce pracy na miejscu, dostępność właścicieli aktywów w zaplanowanych terminach oraz uporządkowana dokumentacja, którą wystarczy uzupełnić.

Czego wycena nie obejmuje

Kwoty są netto — dochodzi VAT 23%. Nie obejmują: dojazdu poza Warszawę i okolice, zakupu narzędzi i licencji, prac technicznych w systemach (konfiguracji, wdrożeń bezpieczeństwa technicznego) oraz pracy własnej podmiotu nad wprowadzeniem procedur w życie. Nie obejmują też certyfikacji ISO/IEC 27001 — przygotowuję system, ale certyfikat wydaje jednostka certyfikująca i to odrębny koszt, o którym lepiej wiedzieć z góry. Zakup licencji i narzędzi do zarządzania ryzykiem też pozostaje po Państwa stronie; prowadzę system na dokumentach, które Państwo kontrolują.

Ile to trwa

Roboczodni to dni pracy, nie dni kalendarzowe. Pracuję dwa dni w tygodniu, bo analiza ryzyka i szkolenia wymagają udziału Państwa zespołu. Wdrożenie dla średniego podmiotu (16,5 roboczodnia) zajmuje więc około ośmiu tygodni, a analiza ryzyka dla małego podmiotu (3 dni) — niespełna dwa tygodnie. Do tego trzeba doliczyć czas po Państwa stronie na wprowadzenie procedur: to zwykle drugie tyle, ile zajmuje przygotowanie dokumentacji.

Jak zamówić wycenę

Użyj kalkulatora — podaj wielkość podmiotu, liczbę lokalizacji i liczbę osób do przeszkolenia, a dostaniesz liczbę dni z rozbiciem na analizę, dokumentację i wyjazdy. Jeśli wolą Państwo rozmowę, wystarczy krótki opis w formularzu poniżej. Odpowiadam w ciągu 24 godzin w dni robocze.

Pytania o wycenę

Czy szkolenie jest obowiązkowe w ramach wdrożenia?+

Wymagania ISO/IEC 27001 obejmują kompetencje i świadomość osób pracujących w systemie, więc przeszkolenie zespołu jest częścią wdrożenia. Prowadzę je w grupach do 20 osób, a rozliczenie idzie wyjazdami: jeden wyjazd to jeden roboczodzień i najwyżej dwie grupy.

Czy wdrażają Państwo procedury za nas?+

Nie i nie wyceniam tego jako mojej pracy — wprowadzenie procedur w życie to praca własna podmiotu. Moja część to dokumentacja, szkolenie i nadzór nad wdrażaniem przez spotkania kontrolne. Mówię o tym otwarcie, bo obietnica „wdrożymy wszystko za Państwa” jest w tej usłudze nierealna.

Od czego zacząć, jeśli nie wiemy, czy potrzebujemy wdrożenia?+

Od analizy ryzyka z mapowaniem informacji na aktywa. To krok weryfikacyjny: jej wynikiem jest rejestr ryzyka z planem postępowania oraz wniosek — utrzymać istniejący system czy budować go na nowo. Dopiero na tej podstawie planuje się wdrożenie i jego zakres.

SZBI buduje system zarządzania. Jeśli pytanie dotyczy skontrolowania tego, co już istnieje, właściwa jest audyt zgodności; jeśli obowiązków ustawowych — dostosowanie do KSC. Odporność techniczną mierzą testy penetracyjne.