Audyt ISO 27001 Gdańsk

Dlaczego wymaganie przychodzi tu z cudzej procedury

Do trójmiejskich firm obsługujących ruch towarowy temat normy trafia rzadko z własnej refleksji zarządu. Trafia z załącznika: operator terminalu, armator albo duży zleceniodawca porządkuje wymagania wobec podmiotów, które wpuszcza na swój teren i do swoich systemów, i przenosi część z nich na Was.

Ma to jedną konsekwencję praktyczną, która przesądza o kształcie badania. Pytający nie interesuje się przede wszystkim tym, co dzieje się w Waszym biurze. Interesuje go to, co robi Wasz człowiek, kiedy jest u niego, oraz co dzieje się z kontem, które sam Wam nadał. Pomiar gotowości robiony wyłącznie przy biurku odpowiada więc na inne pytanie niż to, które zostało zadane.

Czego szuka badający, gdy praca nie odbywa się przy biurku

Dowód, o który poprosi	Gdzie powstaje w firmie biurowej	Gdzie musi powstać u Was	Co zwykle zastajemy
Nadanie dostępu pracownikowi	zgłoszenie w systemie wewnętrznym	także po stronie kontrahenta	brak wykazu kont otrzymanych z zewnątrz
Odebranie dostępu przy odejściu	zamknięcie konta w katalogu	powiadomienie każdej drugiej strony	krok wykonany tylko u siebie
Zabezpieczenie sprzętu	konfiguracja stacji w biurze	konsola zarządzania urządzeniami mobilnymi	wyjątki na kilku starszych laptopach
Zasady dla dokumentów	polityka czystego biurka	zasada dla teczki wożonej w aucie	temat nieopisany w żadnym dokumencie
Praca na cudzym terenie	nie występuje	zasady i przeszkolenie przed wejściem	ustalenia przekazywane ustnie
Zgłoszenie zdarzenia	droga do informatyki w godzinach pracy	adresat dostępny także wieczorem	kontakt znany jednej osobie
Przegląd uprawnień	eksport z katalogu tożsamości	również przegląd kont zewnętrznych	przegląd obejmujący wyłącznie swoje systemy
Szkolenie świadomości	lista obecności na spotkaniu	potwierdzenie od osób pracujących zdalnie	luka przy zespole stale w terenie

Wiersze pierwszy i drugi wracają w każdym takim badaniu i mają wspólną przyczynę. Zarządzanie tożsamością jest zwykle poprawnie ułożone tam, gdzie firma sama nadaje konta, i całkowicie nieopisane tam, gdzie nadaje je ktoś inny, choć skutki są dokładnie takie same.

Konta nadane przez drugą stronę, czyli najkrótsza droga do rozbieżności

Agent z dostępem do systemu operatora, spedytor z kontem w aplikacji przewoźnika, osoba obsługująca zgłoszenia z uprawnieniem nadanym przez kontrahenta. Każdy taki dostęp jest zobowiązaniem wobec podmiotu, który go przyznał, i każdy przeżywa zwykle osobę, do której należał.

Sprawdzamy więc trzy rzeczy w ustalonej kolejności. Czy istnieje wykaz takich kont i kto go prowadzi. Czy przy zakończeniu współpracy z pracownikiem ktoś powiadamia drugą stronę, a jeśli tak, to czy zostaje po tym ślad. Oraz czy zakres uprawnień odpowiada nadal wykonywanej pracy, bo dostęp nadany na czas jednego projektu potrafi działać kilka lat po jego zakończeniu.

Naprawa jest w tym miejscu wyjątkowo tania. Wystarczy jeden wykaz i jedna rubryka dopisana do listy czynności przy odejściu pracownika. Kosztuje to popołudnie pracy, a zamyka pozycję, o którą przy każdej ankiecie bezpieczeństwa pyta się jako o pierwszą.

Jak prowadzimy badanie w firmie, w której połowa ludzi jest w drodze

Dzień pierwszy spędzamy przy dokumentach i przy rozmowach w biurze, bo tam zapadają decyzje o zakresie, o ryzyku i o umowach. Rozmowy z osobami stale pracującymi poza biurem umawiamy tego samego dnia wideokonferencją, ponieważ próba zwołania wszystkich w jedno miejsce kończy się przesunięciem badania o kilka tygodni.

Dzień drugi to dowody. Oglądamy zapisy w narzędziach, w których powstają, konsolę zarządzania urządzeniami oraz stan sprzętu wybranego losowo spośród tego, który akurat jest w firmie. Przy okazji przechodzimy jedną sprawę od początku do końca, żeby zobaczyć, gdzie ląduje materiał klienta na każdym etapie.

Dzień trzeci to uzupełnienia, weryfikacja odpowiedzi, które się rozeszły, i podsumowanie z zarządem. Rozbieżności między tym, co mówi dokument, a tym, co robi osoba w terenie, zapisujemy w osobnej kategorii, bo zamyka się je zwykle poprawieniem opisu, a nie zmianą praktyki.

Co dostajecie w raporcie

Na górze jedno zdanie z liczbą rozbieżności i klasą każdej z nich, żeby decyzję o terminie dało się podjąć bez czytania całości. Niżej zestawienie wymaganie po wymaganiu, a przy każdej pozycji stan faktyczny, rozbieżność, szacowany czas zamknięcia i oznaczenie mówiące, czy dotyczy pracy w biurze, czy poza nim.

To ostatnie oznaczenie zmienia sposób planowania. Braki biurowe domyka zwykle jedna osoba w kilka dni. Braki dotyczące pracy w terenie wymagają rozmowy z ludźmi, którzy w biurze bywają raz w tygodniu, więc planuje się je inaczej i to jest jedyny powód, dla którego rozdzielamy je w dokumencie. Rząd wielkości stałej opieki nad środowiskiem, gdyby po badaniu wróciło takie pytanie, policzycie w kalkulatorze.

Czego to badanie nie zamyka

Certyfikatem się nie kończy i nie wywołuje żadnego skutku formalnego, ponieważ dokument wydaje wyłącznie niezależna jednostka po własnym postępowaniu. Cyklicznego audytu wewnętrznego nie zastąpi, chyba że umówimy się na to przed startem i dobierzemy do tego zakres. Prób włamania ani przeglądu bezpieczeństwa oprogramowania w nim nie ma.

Co mówi sama norma i skąd bierze się jej zakres, wyjaśnia ISO 27001. Przez cały projekt certyfikacyjny przechodzi z Wami wdrożenie. Polityki, wykazy i wzory zapisów powstają przy dokumentacji. Relację normy z obowiązkami sektorowymi porządkuje ISO 27001 a NIS 2. Termin badania umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026