Audyt ISO 27001 Gorzów Wielkopolski

Co da się zbadać dopiero w budynku

Norma bywa opisywana jako projekt dokumentacyjny i to jest jej największe nieporozumienie. Załącznik A ma osobną grupę zabezpieczeń dotyczących bezpieczeństwa fizycznego i środowiskowego, a te sprawdza się nogami, nie czytaniem polityki.

Pytanie z badania	Co odpowiada dokument	Co widać na miejscu
Kto ma dostęp do serwerowni	lista osób w procedurze	klucz wiszący na tablicy w portierni
Gdzie kończy się strefa dla gości	plan stref w polityce	kurier wchodzący do biura kadr po podpis
Jak zabezpieczone są nośniki	zapis o szyfrowaniu	pendrive z eksportem w niezamkniętej szufladzie
Co robi pracownik przy incydencie	procedura zgłaszania	odpowiedź „mówię koleżance z IT, jak ją spotkam”
Jak wygląda odejście pracownika	procedura kadrowa	konto sprzed roku nadal aktywne
Jak chronione są wydruki	zasada czystego biurka	stos dokumentów przy drukarce o siedemnastej
Czy zapisy powstają na bieżąco	harmonogram przeglądów	wszystkie protokoły z jednego tygodnia

Trzecia kolumna jest tym, co odróżnia badanie od przeczytania segregatora. Audytor jednostki certyfikującej zrobi dokładnie to samo, więc lepiej, żeby te rzeczy wyszły wcześniej.

Rozmowy, czyli najtrudniejsza część do zorganizowania zdalnie

Najwięcej dowiadujemy się z krótkich rozmów z ludźmi spoza kierownictwa. Magazynier, księgowa, osoba z rejestracji, kierownik zmiany. Pytanie brzmi zawsze podobnie: co robisz, kiedy dzieje się coś nietypowego, i skąd wiesz, że tak trzeba.

Jeśli odpowiedź pokrywa się z procedurą, system działa. Jeśli pracownik nie kojarzy dokumentu, a mimo to robi rzecz właściwą, mamy do czynienia z dobrą praktyką bez opisu i to jest łatwe do naprawienia. Jeśli nie zna ani dokumentu, ani zasady, procedura opisuje firmę, która nie istnieje.

Takich rozmów potrzeba kilkanaście i muszą trwać po kilkanaście minut, przy stanowisku, bez kierownika stojącego obok. Zorganizowanie tego przez wideorozmowy w firmie produkcyjnej jest teoretycznie możliwe, praktycznie kończy się tym, że rozmawiamy z trzema osobami z biura.

Ile to naprawdę kosztuje przy audytorze z Gorzowa

Stawka za samo badanie jest identyczna w całym kraju i wynosi od 7 900 zł netto przy firmie do pięćdziesięciu osób. Różnica dotyczy tego, czego na fakturze nie widać, a co wlicza się w cenę u firm dojeżdżających z daleka: czasu w drodze i noclegu przy badaniu rozłożonym na kilka dni.

Przy trzech dniach obecności w Gorzowie ta różnica przestaje być drobiazgiem, a dodatkowo znika presja, żeby zmieścić wszystko w jednym wyjeździe. Możemy przyjechać w poniedziałek, wrócić w czwartek po zapisy, których w poniedziałek nie było pod ręką, i nie jest to dla nikogo problemem organizacyjnym.

Kto wydaje certyfikat i dlaczego nie my

Certyfikat ISO/IEC 27001 wydaje niezależna jednostka certyfikująca po własnym audycie, przeprowadzonym przez własnych audytorów. Nasze badanie nie ma skutków formalnych i nie prowadzi do wydania papieru, i tak ma pozostać.

Powód jest prosty. Firma, która wdraża system i sama go certyfikuje, potwierdzałaby własną pracę, a taki certyfikat nie ma wartości dla Waszego klienta. Rozdzielenie tych ról jest warunkiem, na którym opiera się cała wiarygodność normy, więc pilnujemy go również wtedy, gdy klient prosi nas o coś przeciwnego.

Naszą rolą jest przygotowanie: badanie stanu, lista braków, praca nad ich usunięciem i obecność przy audycie jednostki. Całą drogę do certyfikatu rozpisaliśmy przy wdrożeniu ISO 27001 w Gorzowie.

Jak wygląda raport i co z nim zrobicie

Niezgodności dzielimy na duże i drobne, przy każdej podajemy wymaganie normy, stan zastany, rekomendację i oszacowanie pracy potrzebnej do usunięcia. Na końcu jest kolejność, bo część braków blokuje inne i robienie ich równolegle nie ma sensu.

Raport piszemy tak, żeby dało się go przekazać dalej bez tłumaczenia: zarządowi, kontrahentowi pytającemu o bezpieczeństwo albo późniejszemu audytorowi jednostki. Omawiamy go u Was, w godzinę, bo lista czterdziestu uwag przeczytana samodzielnie zwykle kończy się odłożeniem tematu na kolejny kwartał.

Jeśli okaże się, że braki są przede wszystkim techniczne, tańszym pierwszym krokiem bywa audyt IT w Gorzowie, a dopiero po uporządkowaniu kopii, dostępów i sieci wracamy do wymagań normy. Dokumenty, które przy tym powstaną, opisuje dokumentacja ISO 27001.

Treść sprawdzona i zaktualizowana: 31 lipca 2026