Calculadora de custo de SOC 2 e ISO 27001
Estime quanto SOC 2 ou ISO 27001 vão custar no primeiro ano e nos seguintes, e quanto tempo levam, a partir de seis perguntas sobre sua empresa.
Quanto SOC 2 e ISO 27001 realmente custam
A taxa de auditoria é só uma parte da conta. A maior parte do custo do primeiro ano é preparação: fechar lacunas, escrever políticas, configurar ferramentas e reunir evidências, seja pela sua própria equipe, com ajuda de um consultor ou com uma plataforma de conformidade que automatiza parte do trabalho. Depois do primeiro ano o custo cai, mas não para: o SOC 2 é auditado todo ano e a ISO 27001 tem auditorias de manutenção anuais.
- Honorários de auditoria. Pagos a uma firma de CPA independente para SOC 2 ou a um organismo de certificação acreditado para ISO 27001. Aumentam com o número de sistemas, locais e pessoas no escopo.
- Preparação. Um consultor, uma plataforma de conformidade ou o tempo da sua própria equipe. Começar do zero praticamente dobra este item em comparação com uma empresa cujos controles já estão em grande parte implantados.
- Teste de invasão. Nem sempre exigido pela norma, mas a maioria dos grandes clientes pede um recente.
- Ferramentas e correções. Gestão de dispositivos, logs, treinamento de segurança e ferramentas semelhantes que fecham lacunas.
SOC 2 Tipo 1, Tipo 2 ou ISO 27001?
SOC 2 Tipo 1Início mais rápido
Mostra que os controles estão bem desenhados em uma data. Mais rápido e barato, e útil para destravar um negócio, mas a maioria dos clientes logo pede o Tipo 2.
SOC 2 Tipo 2Comum nos EUA
Mostra que os controles funcionaram ao longo de um período de observação de três a doze meses. O relatório que a maioria dos clientes de software e serviços nos EUA pede.
ISO 27001Comum na Europa e na Ásia
Um certificado para o seu sistema de gestão de segurança da informação, válido por três anos com auditorias de manutenção anuais. Costuma ser esperado por clientes na Europa, no Reino Unido e no Japão.
Quanto tempo leva?
A preparação costuma levar de um a seis meses, dependendo do ponto de partida. Um relatório Tipo 1 vem logo depois. Um relatório Tipo 2 acrescenta o período de observação, então um primeiro Tipo 2 normalmente está a seis a doze meses. A ISO 27001 exige que o sistema de gestão esteja funcionando, com auditoria interna e análise crítica pela direção, antes da auditoria de certificação em duas fases.
Perguntas frequentes
Qual a precisão desta estimativa?
Ela mostra faixas com base em preços publicados usuais para pequenas e médias empresas, ajustadas às suas respostas. Cotações reais dependem do auditor, do seu escopo exato e da sua localização; use-a para o orçamento e peça cotações aos auditores.
SOC 2 é mais barato que ISO 27001?
No primeiro ano custam mais ou menos o mesmo para um escopo parecido. Em três anos, a ISO 27001 costuma sair um pouco mais barata, porque as auditorias de manutenção custam menos que uma auditoria SOC 2 Tipo 2 anual. Muitas empresas acabam com os dois e reaproveitam a maioria dos controles.
Dá para fazer sem consultor?
Sim, principalmente se alguns controles já existem. Conte com mais tempo da sua própria equipe; uma plataforma de conformidade ou um agente que reúne evidências automaticamente reduz esse tempo.
Esta calculadora é gratuita?
Sim. Não é preciso criar conta. Se você informar seus dados de contato e baixar o PDF, a Sourceably os salva para que nossa equipe possa ajudar você, a menos que você marque “Não entrar em contato”.