Audyt ISO 27001 Katowice

Dlaczego wynik wyznacza najsłabszy adres

System zarządzania bezpieczeństwem informacji nie ma wersji lokalnych. Jest jeden, obejmuje to, co sami wpisaliście do zakresu, i tak samo jeden jest wynik jego badania. Firma, która ma trzy obiekty, przekonuje się o tym zwykle w momencie, w którym najlepiej prowadzona lokalizacja przestaje mieć znaczenie dla oceny całości.

Praktyczny wniosek jest niewygodny, ale prosty. Skoro rozbieżność stwierdzona w magazynie waży tyle samo co rozbieżność w biurze, to pracę trzeba planować od miejsca najsłabszego, a nie od tego, w którym najłatwiej ją wykonać. Badanie gotowości ma powiedzieć, gdzie to miejsce jest, i podać liczbę zamiast przypuszczenia.

Co widać, gdy postawić obiekty obok siebie

Obszar	Biuro handlowe	Hala produkcyjna	Magazyn
Zasady wejścia	recepcja i rejestr gości	wejście przez portiernię, serwis bez zapisu	brama otwierana przez kierowcę
Klucze i strefy	szafka z ewidencją	klucze u kilku osób z utrzymania ruchu	jeden klucz na zmianę, bez rubryki zwrotu
Konta i uprawnienia	nadawane przez zgłoszenie	zakładane doraźnie przy stanowisku	wspólne konto na terminalu
Nośniki wymienne	ograniczone ustawieniem	pendrive z programami w szufladzie	nośniki od przewoźników przy wydaniu
Szkolenia świadomości	prowadzone przy zatrudnieniu	rozmowa na odprawie	pominięty w planie szkoleń
Zgłaszanie zdarzeń	zgłoszenie w systemie	telefon do informatyki w godzinach pracy	brak wskazanego adresata
Dokumenty papierowe	zamykane szafy	rysunki przy maszynach do końca serii	wydruki zamówień na regale
Dowody z ostatniego roku	kompletne	częściowe	żadne

Ostatni wiersz jest tym, przez który firmy przesuwają termin rozmowy z jednostką. Dokumenty i ustawienia domykają się w tygodniach, natomiast dowód ma datę powstania i w obiekcie, w którym nikt niczego nie zapisywał, trzeba go najpierw zacząć wytwarzać.

Skąd bierze się różnica między obiektami

Nie z jakości ludzi, tylko z obecności kogoś, kto o to pyta. W biurze siedzi osoba od informatyki, więc zgłoszenia mają swoją drogę, konta swoje zasady, a dokumenty swoje miejsce. W hali tę samą rolę pełni utrzymanie ruchu, które myśli kategoriami dostępności maszyny, i to jest rozsądne, tylko wytwarza inne zapisy. W magazynie nie ma nikogo takiego i wszystko opiera się na przyzwyczajeniu zmiany.

Druga przyczyna jest jeszcze prostsza. Obiekty otwierano w różnych latach, w różnych warunkach i z różnym budżetem, a zasady ustalone przy uruchomieniu pierwszego z nich nigdy nie zostały przeniesione do kolejnych, bo nikt ich nie zapisał w postaci nadającej się do przeniesienia.

Jak prowadzimy badanie rozłożone na kilka miejsc

Zaczynamy od dokumentów i rozmów w tej lokalizacji, w której siedzi zarząd, bo tam zapadają decyzje o zakresie, ryzyku i zasobach. Drugi dzień to obchody, zwykle dwa obiekty pod rząd, prowadzone z osobami, które faktycznie tam pracują, a nie z kimś oddelegowanym z centrali. Trzeci dzień to uzupełnienia, weryfikacja odpowiedzi, które rozeszły się między obiektami, i podsumowanie.

Rozbieżności między tym, co mówi biuro, a tym, co robi magazyn, zapisujemy osobno, ponieważ zamyka się je inaczej niż zwykły brak. Zwykle nie chodzi o to, żeby zmienić praktykę w obiekcie, tylko o to, żeby ktoś w ogóle o niej wiedział i uwzględnił ją w opisie.

Jak wygląda raport i po co jest w nim kolumna z adresem

Zaczyna się od jednego zdania z liczbą rozbieżności i ich klasą, żeby decyzję o terminie dało się podjąć bez czytania całości. Dalej idzie zestawienie wymaganie po wymaganiu, a przy każdej pozycji stoi lokalizacja, której dotyczy, i szacowany czas zamknięcia.

Kolumna z adresem zmienia sposób planowania pracy. Bez niej lista braków wygląda na równomiernie rozłożoną po firmie i zniechęca. Z nią widać, że dwie trzecie pozycji siedzi pod jednym numerem, a wyrównanie tego jednego obiektu przesuwa całą firmę bliżej gotowości niż jakiekolwiek prace w pozostałych.

Układ raportu jest taki, żeby dało się go wysłać dalej bez redagowania, czy to do jednostki certyfikującej, czy do działu zakupów odbiorcy, czy do własnych ludzi. Jeżeli po badaniu wróci pytanie o koszt bieżącej opieki nad tym środowiskiem, jego orientacyjną wartość wyliczycie w kalkulatorze.

Czego to badanie nie zamyka

Nie kończy się certyfikatem i nie wywołuje skutków formalnych. Cyklicznego audytu wewnętrznego nie zastępuje, chyba że uzgodnimy taki układ przed startem. Prób włamania ani przeglądu bezpieczeństwa oprogramowania sterującego maszynami w nim nie ma.

Wymagania samej normy i decyzję o granicy tłumaczy ISO 27001, drogę do certyfikatu prowadzi wdrożenie, komplet polityk powstaje przy dokumentacji, a relację z obowiązkami sektorowymi wyjaśnia ISO 27001 a NIS 2. Termin badania umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026