Audyt ISO 27001 Łódź

Dlaczego rotacja jest tutaj głównym tematem

System zarządzania bezpieczeństwem informacji ocenia się po tym, czy działa zawsze, a nie po tym, czy da się go opisać. W firmie obsługującej zamówienia warunek ten spotyka najostrzejszą możliwą próbę, ponieważ przez kilka tygodni w roku obsada rośnie o kilkadziesiąt osób, każda z nich potrzebuje dostępu pierwszego dnia i każda kończy pracę w terminie ustalonym z góry.

Zasady napisane pod stały zespół wytrzymują to rzadko. Nie dlatego, że są złe, tylko dlatego, że zaprojektowano je pod czynność wykonywaną kilka razy w roku, a nie kilkadziesiąt razy w miesiącu. Badanie ma pokazać, które z nich pękają przy tej skali i co trzeba w nich zmienić, zanim ktokolwiek sprawdzi to z zewnątrz.

Jak te same wymagania wyglądają w dwóch układach

Wymaganie	Przy obsadzie stałej	Przy obsadzie szczytu	Co sprawdzamy
Zobowiązanie do poufności	podpisywane razem z umową	rozdawane hurtem przy wdrożeniu grupy	czy istnieje komplet podpisów za poprzedni sezon
Przekazanie zasad	rozmowa z przełożonym	kilkanaście minut przed pierwszą zmianą	jaki ślad zostaje po tym w dokumentacji
Nadanie dostępu	zgłoszenie i akceptacja	konta zakładane paczkami dzień wcześniej	czy zakres odpowiada wykonywanej czynności
Odebranie dostępu	zgłoszenie przy odejściu	termin znany z góry, krok pomijany	ilu kont z poprzedniego szczytu nikt nie zamknął
Zwrot mienia	protokół przy rozliczeniu	terminal oddany komukolwiek na zmianie	czy przypisanie sprzętu do osoby w ogóle istnieje
Nośniki i wydruki	zasada znana zespołowi	nowe osoby nie zdążyły jej poznać	co dzieje się z wydrukami przy stanowisku pakowania
Zgłaszanie zdarzeń	wiadomo, do kogo zadzwonić	brak kontaktu poza kierownikiem zmiany	czy adresat jest wskazany na każdej obsadzie
Przegląd uprawnień	raz na kwartał, kalendarzowo	lista rośnie szybciej, niż jest przeglądana	data ostatniego przeglądu wobec dat zatrudnień

Wiersz czwarty jest tym, który przesądza o wyniku najczęściej. Konta niezamknięte po sezonie ciągną się przez kolejne miesiące, a przy badaniu tworzą pozycję trudną do wytłumaczenia, ponieważ każde z nich ma datę i widać przy niej, jak długo pozostawało czynne bez powodu.

Które dowody rosną własnym tempem

Trzy rodzaje zapisów zachowują się inaczej niż reszta i to one wyznaczają realny termin rozmowy z jednostką. Pierwszy to potwierdzenia przekazania zasad, bo powstają wyłącznie w chwili przyjmowania ludzi. Drugi to zapisy z przeglądów uprawnień, których nie da się wytworzyć wstecz. Trzeci to rejestr zdarzeń, istniejący tylko wtedy, gdy ktoś je w ogóle odnotowywał.

Firma może w dwa tygodnie napisać zasadę mówiącą, że dostęp odbiera się w ostatnim dniu pracy. Nie może w dwa tygodnie pokazać, że robiła tak przy sześćdziesięciu osobach kończących pracę w styczniu. Komplet zapisów z jedną datą sprzed miesiąca mówi badającemu więcej niż otwarcie przyznany brak.

Jak prowadzimy badanie w firmie, która nie ma czasu w sezonie

Dzień pierwszy spędzamy przy dokumentach i przy rozmowach w części biurowej, bo tam zapadają decyzje o zakresie, o ryzyku i o umowach ze zleceniodawcami. Dzień drugi zaczynamy od przejścia hali razem z kierownikiem zmiany, w porze uzgodnionej poza godzinami największego obłożenia, żeby rozmowa nie odbywała się w biegu między regałami.

Odpowiedzi z hali zapisujemy osobno od odpowiedzi z biura, ponieważ różnica między nimi jest informacją, a nie przewinieniem. Zasada opisana bez udziału osób pakujących przesyłki zwykle nie uwzględnia tempa ich pracy, więc poprawiamy raczej opis niż praktykę, chyba że praktyka tworzy realne ryzyko.

Co znajdziecie w raporcie

Na górze jedno zdanie z liczbą rozbieżności i klasą każdej z nich, żeby decyzję o terminie dało się podjąć bez czytania całości. Niżej zestawienie wymaganie po wymaganiu, a przy każdej pozycji stan faktyczny, rozbieżność oraz oznaczenie mówiące, czy dotyczy ona pracy stałej, czy ujawnia się dopiero w szczycie.

To ostatnie oznaczenie zmienia sposób planowania. Bez niego lista wygląda na jednolitą i zniechęca, a z nim widać, że część pozycji domyka się jednym ustawieniem obowiązującym cały rok, natomiast reszta wymaga zmiany w sposobie przyjmowania ludzi, czyli pracy wykonywanej raz i procentującej przy każdym kolejnym sezonie. Jeżeli po badaniu wróci pytanie o koszt bieżącej opieki nad środowiskiem, jego rząd wielkości policzycie w kalkulatorze.

Czego to badanie nie zamyka

Nie kończy się certyfikatem i nie wywołuje skutków formalnych, bo dokument wydaje wyłącznie niezależna jednostka po własnym postępowaniu. Cyklicznego audytu wewnętrznego nie zastępuje, o ile nie ustalimy tego przed startem. Prób włamania ani przeglądu bezpieczeństwa oprogramowania sklepu w nim nie ma.

Co mówi sama norma, przybliża ISO 27001. Całą drogę do dokumentu przechodzi z Wami wdrożenie. Polityki i procedury powstają przy dokumentacji. Relację z obowiązkami sektorowymi porządkuje ISO 27001 a NIS 2. Termin badania umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026