Audyt ISO 27001 Białystok

Co dostajecie w raporcie i co się z nim dalej robi?

Listę niezgodności, w której każda pozycja ma cztery elementy. Wymaganie, którego dotyczy. Stan zastany opisany zdaniem, a nie oceną. Wagę, czyli rozstrzygnięcie, czy to niezgodność duża, zatrzymująca badanie jednostki, czy drobna, usuwana w wyznaczonym terminie. I rekomendację, czyli opis roboty do wykonania razem z szacunkiem nakładu.

Na końcu stoi zestawienie, które w praktyce czyta się pierwsze. Ile pracy dzieli Was od stanu, w którym badanie jednostki certyfikującej ma szanse zakończyć się bez powtórnej wizyty, i w jakiej kolejności tę pracę wykonać. Dokument jest napisany tak, żeby dało się go przekazać dalej bez tłumaczenia: audytorowi jednostki, dużemu odbiorcy albo własnemu zespołowi.

Dlaczego w podlaskiej firmie najwięcej wypada przy dostawcach?

Bo tak wygląda dziś struktura kosztów. Firma spod Białegostoku rzadko utrzymuje własny dział informatyczny, za to kupuje program handlowy jako usługę, pocztę w chmurze, obsługę informatyczną z zewnątrz i serwis systemów magazynowych u producenta. Każda z tych umów przenosi część przetwarzania informacji poza Wasz teren, a norma pyta nie o to, gdzie ta informacja leży, tylko czy ktokolwiek tego pilnuje.

W firmach wożących towar na wschodnią granicę dochodzi do tego jeszcze jedna warstwa. Dane zleceń, kierowców i odpraw krążą między systemem spedycyjnym, platformą kontrahenta i agencją celną, więc pytanie o nadzór nad dostawcą dotyczy tam nie jednego programu, tylko całego łańcucha, po którym te dane idą.

Obszar wymagania	Co zwykle zastajemy	Waga
Bezpieczeństwo w umowach z dostawcami	umowa opisuje cenę i termin, o bezpieczeństwie milczy	duża
Przegląd usług dostawcy	nikt nigdy nie sprawdził, czy warunki są dotrzymywane	duża
Wykaz osób z dostępem po stronie dostawcy	nie istnieje, znane są tylko nazwy firm	duża
Korzystanie z usług w chmurze	brak decyzji, kto zatwierdza nowy abonament	drobna
Zasady pracy zdalnej	dokument opisuje pracę z biura, choć obsługa idzie przez sieć	drobna
Zmiana dostawcy albo zakresu usługi	brak trybu postępowania i przekazania danych	drobna
Zapisy dostępu zdalnego	sesje nie zostawiają śladu możliwego do przedstawienia	duża

Ta tabela ma jedną zaletę. Wszystkie pozycje z niej da się domknąć pracą organizacyjną i papierem, bez kupowania sprzętu, więc lista niezgodności z tego obszaru jest zwykle najtańsza do usunięcia, mimo że wygląda najgorzej.

Co sprawdzamy przez sieć, a co obchodem?

Rozmowy z osobami odpowiedzialnymi za procesy prowadzimy zdalnie, w blokach po kilkadziesiąt minut, dopasowanych do zmian. Dokumentację, rejestr ryzyk, deklarację stosowania i zapisy z przeglądów czytamy z materiałów, które udostępniacie. Ustawienia systemów oglądamy przez konta do odczytu.

Obchód po Waszych pomieszczeniach jest jednak częścią badania i nie ma od tego wyjątku. Załącznik A wymaga stref bezpieczeństwa, kontroli wejścia, ochrony sprzętu i porządku na stanowiskach, a każdą z tych rzeczy sprawdza się chodząc. Otwarta szafa serwerowa w korytarzu, klucz do archiwum wiszący na tablicy i drukarka z wydrukami kadrowymi w części ogólnodostępnej to znaleziska, których żaden plik nie pokaże.

Prowadzi go inżynier z białostockiego biura, a listę rzeczy do obejrzenia ustalamy przy podpisaniu zlecenia, żeby obchód szedł bez przestojów na szukanie kluczy i osób odpowiedzialnych.

Co ta lista mówi o kosztach dojścia do zgodności?

Więcej niż jakakolwiek oferta wdrożeniowa napisana bez badania. Firma, która ma uporządkowane kopie, kontrolę dostępu i sieć, wchodzi w projekt z krótszą listą i płaci za mniej pracy doradczej. Firma, która musi najpierw nadrobić technikę, powinna o tym wiedzieć przed podpisaniem umowy, a nie w trzecim miesiącu.

Dlatego przy każdej niezgodności piszemy szacunek nakładu, a na końcu sumujemy go w dwóch wariantach. Zgodność bez certyfikatu, wystarczająca dla większości pytań od kontrahentów, oraz pełna droga do badania jednostki. Różnica między tymi wariantami bywa większa, niż zakładają obie strony rozmowy.

Sam przebieg prac opisuje wdrożenie ISO 27001, zakres dokumentów dokumentacja ISO 27001, a wymagania normy ISO 27001 Białystok.

Czego ten raport nie zastępuje?

Certyfikatu, bo tego nie wydaje nikt poza akredytowaną jednostką i tak ma zostać. Audytu wewnętrznego wymaganego przez normę, choć nasz raport bardzo ułatwia jego przeprowadzenie. Ani technicznego przeglądu środowiska, bo zgodność z normą i sprawność infrastruktury to dwie różne rzeczy, mierzone inaczej.

Stan techniczny pokaże audyt IT, a jeśli pytanie o bezpieczeństwo przyszło z przepisów, a nie od kontrahenta, porównanie znajdziecie przy ISO 27001 a NIS 2. Termin badania umówicie przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026