Audyt ISO 27001 Lublin

Gdzie firma z częstą wymianą składu traci najwięcej punktów?

W obszarze dotyczącym ludzi, i to z dużym zapasem nad pozostałymi. Norma nie pyta, czy macie regulamin. Pyta o dowód, że przy każdym przyjęciu ktoś nadał dostęp według ustalonej zasady, a przy każdym odejściu ktoś go odebrał i zapisał to gdziekolwiek poza własną pamięcią.

Lubelska firma przewozowa albo usługowa przyjmuje i żegna w ciągu roku kilkanaście osób. Każde takie zdarzenie jest osobną okazją do powstania luki, a audytor nie sprawdza średniej, tylko wyrywkowo wybiera trzy nazwiska z listy płac i prosi o ślad. Wystarczy, że przy jednym z nich śladu nie ma, żeby proces został uznany za nieskuteczny.

Drugie miejsce zajmuje ocena ryzyka prowadzona raz, przy pisaniu dokumentów, i od tamtej pory nietknięta. Firma, która w międzyczasie otworzyła oddział przy granicy i zmieniła system pokładowy, ma rejestr opisujący przedsiębiorstwo, którego już nie ma.

Czego dokładnie szukamy w dowodach?

Obszar badania	O co pyta audytor	Czym to zwykle domykacie	Co najczęściej brakuje
Przyjęcie do pracy	kto nadał dostęp i na jakiej podstawie	zgłoszenie od kierownika w poczcie	brak śladu zakresu uprawnień
Zmiana stanowiska	czy stare uprawnienia odebrano	nic, uprawnienia się nakładają	wykaz dostępów po dwóch rolach
Odejście	data odebrania każdego dostępu	zamknięcie poczty, reszta pomijana	panel floty i systemy pokładowe
Ocena ryzyka	kiedy była aktualizowana	rejestr z jedną datą	zapis z przeglądu po zmianach
Dostawcy	jakie wymagania im postawiono	umowa handlowa bez części o danych	brak zapisu o odebraniu dostępu
Incydenty	rejestr zdarzeń i wnioski	opowieść o zdarzeniu sprzed roku	zapis z datą i podjętym działaniem
Kopie zapasowe	dowód udanego odtworzenia	raport zadania z informacją o sukcesie	protokół z próby powrotu
Przegląd uprawnień	ślad cyklicznego przeglądu	przekonanie, że robi się na bieżąco	lista z datą i podpisem

Ostatnia kolumna jest tym, co znajdzie się w raporcie. Nie jako zarzut, tylko jako pozycja z wagą i z oszacowaniem, ile pracy dzieli Was od jej zamknięcia.

Co daje ten raport w rozmowie z dużym odbiorcą?

Zleceniodawcy przewozowi i sieciowi odbiorcy pytają dziś o bezpieczeństwo w formie kwestionariusza. Kilkanaście pozycji o dostępach, kopiach, zgłaszaniu incydentów i o tym, kogo dopuszczacie do danych o ładunku. Ktoś w firmie wypełnia to zwykle z pamięci, w piątek, tuż przed terminem.

Po badaniu każda z tych pozycji ma pokrycie w dokumencie albo jasną informację, że pokrycia nie ma i kiedy będzie. Doświadczenie mówi, że druga odpowiedź jest przyjmowana lepiej niż wymijająca pierwsza, bo pokazuje, że firma zna własny stan.

Jak badamy firmę, w której dyspozytornia nie może stanąć?

Praca dzieli się na trzy części i tylko jedna wymaga obecności u Was. Pierwsza to przegląd dokumentów, który prowadzimy zdalnie, na materiałach przesłanych wcześniej. Druga to wizyta w bazie, podczas której rozmawiamy z ludźmi i oglądamy zapisy w systemach. Trzecia to opracowanie raportu, już bez Waszego udziału.

Wizytę układamy pod grafik dyspozytorni, bo tam nie da się zabrać trzech osób naraz. Rozmowa z dyspozytorem trwa kilkanaście minut i odbywa się przy jego stanowisku, a nie w sali konferencyjnej. Z kierownikiem transportu i osobą prowadzącą kadry umawiamy się na dłużej, ale te rozmowy nie kolidują z ruchem pojazdów.

Nic w tej pracy nie wymaga zmian w konfiguracji ani zatrzymania jakiegokolwiek systemu. Patrzymy na zapisy, które już istnieją, i notujemy miejsca, w których ich nie ma.

Ile pracy dzieli Was od zgodności?

Odpowiedź na to pytanie jest osobną częścią raportu i podajemy ją w dniach, nie w procentach. Osobno praca doradcza, osobno godziny po Waszej stronie, osobno zakupy techniczne wynikające z braków. Dopiero taki rozkład pozwala rozmawiać o terminie i o budżecie, zamiast szacować z sufitu.

Firmom, które po tej rozmowie idą dalej, opisaliśmy przebieg prac przy wdrożeniu i certyfikacji, a sam zestaw dokumentów przy dokumentacji systemu.

Czego to badanie nie daje?

Nie kończy się certyfikatem i nie ma skutków formalnych, bo dokument tego rodzaju wydaje wyłącznie niezależna jednostka po własnym audycie. Nie rozstrzyga, czy podlegacie przepisom sektorowym, od tego jest osobne porównanie normy z NIS 2. Nie zastępuje też technicznego przeglądu środowiska, który prowadzi audyt IT. Termin ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026