Audyt ISO 27001 Bydgoszcz

Co zwykle zastajemy, a czego wymaga norma

Zakład z długą historią rzadko jest niezabezpieczony. Przez dwadzieścia lat ktoś tam poustawiał kopie, ktoś podzielił sieć po awarii, ktoś wprowadził wydawanie kluczy po zdarzeniu z serwisem. Braki nie polegają więc na tym, że nic nie zrobiono, tylko na tym, że nikt tego nie nazwał, nie przypisał i nie zapisał.

Badanie ustawia te dwa stany obok siebie: to, co faktycznie działa, i to, czego norma wymaga jako dowodu. Różnica między nimi jest zwykle mniejsza, niż zakłada zarząd, ale rozkłada się nierówno.

Obszar	Co zastajemy najczęściej	Czego wymaga norma	Ile zajmuje zamknięcie
Ocena ryzyka	decyzje podejmowane przez właściciela z pamięci	metoda, kryteria akceptacji, rejestr z właścicielem	kilka warsztatów
Dostęp do stref	klucz u kilku osób i u dwóch firm serwisowych	zasady wydawania i ewidencja wydań	kilka tygodni
Nośniki wymienne	pendrive krążący między biurem a maszynami	reguły użycia i nadzór nad nośnikami	tygodnie, bo zmienia nawyk
Dostawcy i serwisy	ustalenia ustne z czasów montażu linii	wymagania w umowie i sprawdzanie ich spełnienia	zależy od drugiej strony
Przegląd uprawnień	nie odbywa się w ogóle	cykliczny przegląd zakończony zapisem	kwartały
Szkolenia świadomości	rozmowa przy zatrudnieniu	plan szkoleń wraz z potwierdzeniem udziału	tygodnie na start, dowód rośnie dalej
Zapisy ze zdarzeń	pamięć kierownika zmiany	rejestr z datami, skutkiem i wnioskiem	nie do nadrobienia wstecz
Deklaracja stosowania	nie istnieje	dokument obowiązkowy z uzasadnieniem pominięć	kilka dni pracy

Ostatnia kolumna jest tą, dla której to badanie się zamawia. Bez niej lista braków jest tylko listą, a z nią staje się harmonogramem, po którym da się ustalić termin rozmowy z jednostką certyfikującą.

Które braki mają datę i dlatego nie skracają się za pieniądze

Trzy pozycje z tabeli zachowują się inaczej niż reszta: przegląd uprawnień, zapisy ze zdarzeń i potwierdzenia szkoleń. Wszystkie trzy są dowodami, a dowód ma datę powstania, na którą audytor patrzy w pierwszej kolejności.

Firma może w tydzień napisać procedurę mówiącą, że uprawnienia przegląda się co kwartał. Nie może w tydzień wytworzyć czterech takich przeglądów z ostatniego roku. Próba obejścia tego kończy się zawsze tak samo: komplet zapisów z jedną datą sprzed dwóch tygodni jest dla badającego wyraźniejszym sygnałem niż otwarcie przyznany brak.

Dlatego termin badania jednostki wyznaczamy od momentu, w którym powstaną dowody, a nie od gotowości dokumentów. To jedyny element całego projektu, na który nie wpływa ani budżet, ani liczba osób oddelegowanych do pracy.

Jak prowadzimy badanie w firmie pracującej na zmiany

Dzień pierwszy to dokumenty i rozmowy w biurze: zakres, ryzyko, umowy z odbiorcami i z serwisami, uprawnienia w systemach. Dzień drugi zaczynamy wcześnie, przy przekazaniu zmiany, bo wtedy jednocześnie są na miejscu ludzie z obu obsad i da się zapytać o to samo dwie różne osoby.

Obchód hali robimy z kimś z utrzymania ruchu, nie z osobą od informatyki. Interesują nas rzeczy, których nie widać w żadnym systemie: gdzie leży wydruk z rysunkiem, kto ma klucz do pomieszczenia z szafą, jak wchodzi serwisant producenta maszyny i czy ktokolwiek go przy tym rejestruje.

Trzeci dzień to uzupełnienia, weryfikacja tego, co rozeszło się między odpowiedziami, i podsumowanie z zarządem. Przy firmie do pięćdziesięciu osób mieści się to zwykle w trzech albo czterech dniach, przy czym część pracy wykonujemy już poza zakładem.

Co robimy z odpowiedziami, które padają w hali

Zapisujemy je osobno od odpowiedzi z biura i to jest jedna z ważniejszych rzeczy w tym badaniu. Rozbieżność między tym, co mówi procedura, a tym, co robi brygadzista, nie jest przewinieniem kogokolwiek, tylko informacją o tym, że opis powstał bez udziału osób wykonujących pracę.

W raporcie taka rozbieżność ma własną kategorię, ponieważ zamyka się ją inaczej niż braki dokumentacyjne. Zwykle poprawia się dokument, nie praktykę, bo praktyka wypracowana przez lata na hali bywa bezpieczniejsza od tego, co ktoś kiedyś przepisał z wzorca.

Jak wygląda raport i komu go pokazujecie

Zaczyna się od jednego zdania z liczbą rozbieżności i ich klasą, żeby zarząd mógł podjąć decyzję o terminie bez czytania całości. Dalej idzie zestawienie z tabeli powyżej, rozpisane na konkretne wymagania, a na końcu harmonogram z podziałem na to, co zamykacie sami, i to, co wymaga pracy z zewnątrz.

Piszemy go w układzie, który da się przekazać dalej bez przepisywania: audytorowi jednostki, działowi zakupów odbiorcy albo własnemu zespołowi. Rząd wielkości stałej opieki nad środowiskiem, gdyby po badaniu pojawiło się takie pytanie, policzycie w kalkulatorze.

Czego to badanie nie zamyka

Nie kończy się certyfikatem i nie wywołuje skutków formalnych. Nie zastępuje cyklicznego audytu wewnętrznego, o ile nie umówimy się na to wprost. Nie obejmuje testów penetracyjnych ani przeglądu bezpieczeństwa oprogramowania sterującego maszynami.

Wymagania samej normy tłumaczy ISO 27001, drogę do certyfikatu prowadzi wdrożenie, komplet polityk powstaje przy dokumentacji, a relację z obowiązkami sektorowymi wyjaśnia ISO 27001 a NIS 2. Termin badania umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026