Audyt ISO 27001 Rzeszów

Co dostajecie zamiast oceny w skali?

Listę pozycji, przy których czegoś brakuje, ułożoną tak, żeby dało się z niej pracować. Każdy wiersz ma cztery rzeczy: wymaganie normy, stan zastany, brakujący dowód i nakład potrzebny do zamknięcia braku, podany w dniach pracy z rozbiciem na Waszą i naszą stronę. Nie ma tam procentu zgodności ani noty punktowej, bo taka liczba wygląda dobrze na slajdzie i nie mówi nic o tym, co zrobić w poniedziałek.

Braki dzielimy na trzy klasy. Blokujące, czyli takie, przy których jednostka certyfikująca przerwie badanie albo wstrzyma wydanie dokumentu. Wymagające poprawy, czyli te, które da się domknąć w trakcie działań korygujących. Obserwacje, czyli rzeczy działające dziś na dobrej woli konkretnej osoby, które przestaną działać przy pierwszej zmianie kadrowej. Ta trzecia klasa bywa w zakładach najliczniejsza i to ona najczęściej rozstrzyga o tym, czy system przeżyje drugi rok.

Czy potraficie udowodnić, że wysłany plik jest tym zatwierdzonym?

To jest pytanie, na którym w zakładach obróbczych rozstrzyga się większość badania, i osobny rozdział raportu. Odbiorca powierza Wam model, specyfikację procesu i wymagania techniczne. Wy odsyłacie dokumentację wykonawczą, raporty pomiarowe i deklaracje. Norma nie interesuje się jakością wyrobu, ale bardzo mocno interesuje się tym, czy te dane w drodze nie zmieniły się bez śladu i czy nie zobaczył ich nikt spoza kręgu uprawnionych.

Sprawdzamy więc konkretne rzeczy. Czy plik wychodzący z biura konstrukcyjnego ma oznaczenie wersji i status, czy zatwierdzenie zostawia zapis z datą i osobą, czy kopia robocza z pulpitu konstruktora ma jak trafić na maszynę z pominięciem tej ścieżki, czy nośnik użyty do przeniesienia programu jest kontrolowany, czy skrzynka, którą wysyłacie komplet dowodów, ma drugi składnik logowania. Odpowiedź „u nas wszyscy wiedzą, jak to robić” jest w tym miejscu niezgodnością, nie dlatego, że jest nieprawdziwa, tylko dlatego, że nie zostawia dowodu.

Obszar normy	Czego szukamy jako dowodu	Co zwykle jest, a czego brakuje
Ocena ryzyka	rejestr z właścicielami i decyzjami	jest analiza sprzed lat, brakuje przeglądu po zmianach
Kontrola dostępu	wykaz uprawnień i ślad przeglądu	są konta imienne, brakuje okresowego przeglądu
Dostawcy i kontrakty	zapisy wymagań w umowach	jest umowa z integratorem, brakuje wymagań bezpieczeństwa
Ciągłość działania	udokumentowany test odtworzenia	są kopie, brakuje protokołu z próby przywrócenia
Incydenty	rejestr zdarzeń z klasyfikacją	są zgłoszenia serwisowe, brakuje kategorii bezpieczeństwa
Nośniki i strefy	procedura i ślad wydania nośnika	są strefy, brakuje ewidencji nośników wnoszonych na halę
Rozwój i zmiany	zapis zatwierdzenia zmiany w środowisku	są zmiany, brakuje śladu, kto je dopuścił

Które zabezpieczenia z normy dotykają hali, a nie serwerowni?

Więcej, niż spodziewa się większość firm, i to jest zwykle najbardziej zaskakująca część rozmowy podsumowującej. Ewidencja nośników wnoszonych do strefy produkcyjnej, oznaczanie i obsługa dokumentacji w postaci papierowej, zasady pracy w strefach o ograniczonym dostępie, ochrona sprzętu przed nieuprawnionym wyniesieniem, usuwanie danych ze sprzętu wycofywanego z użycia. Żadna z tych pozycji nie zamyka się w serwerowni i żadnej nie da się załatwić konfiguracją.

Druga grupa dotyczy ludzi. Norma wymaga, żeby zakres odpowiedzialności za bezpieczeństwo był przypisany, żeby przy zatrudnieniu i przy odejściu działy się konkretne rzeczy, i żeby pracownicy przechodzili szkolenie adekwatne do stanowiska. W zakładzie z rotacją na produkcji oraz z pracą przez agencje jest to obszar, w którym dokumenty istnieją, a zapisy potwierdzające ich stosowanie zwykle nie.

Ile z tej listy zamkniecie własnymi rękami?

Zaskakująco dużo, o ile lista jest ułożona po kolei. Pozycje organizacyjne, czyli przeglądy uprawnień, rejestr incydentów, przypisanie odpowiedzialności czy uzupełnienie zapisów przy zatrudnieniu, są pracą jednej osoby przez kilka tygodni i nie wymagają ani zakupu, ani wykonawcy. Zwykle jest to jedna trzecia do połowy wszystkich braków.

Reszta dzieli się na dwie części. Pierwsza to prace techniczne, takie jak rozdzielenie sieci, drugi składnik logowania, kopie odporne na skasowanie, uporządkowanie kont serwisowych. Druga to rzeczy wymagające decyzji zarządu, przede wszystkim zakres systemu i przyjęte poziomy ryzyka. Przy każdej pozycji podajemy nakład, więc rozmowa o budżecie odbywa się na liczbach. Pełną drogę do certyfikatu opisuje wdrożenie ISO 27001, a same wymagania normy ISO 27001.

Na czym to badanie się kończy?

Na oddaniu i omówieniu listy. Nie wystawiamy certyfikatów i nie mamy do tego uprawnień, bo robi to niezależna jednostka po własnym, dwuetapowym badaniu. Nie prowadzimy testów penetracyjnych i nie oceniamy zgodności wyrobu z żadną specyfikacją techniczną, bo to inna dziedzina i inny audytor.

Nie odpowiadamy też na pytanie, czy obejmują Was przepisy o cyberbezpieczeństwie, choć pada ono w tej rozmowie regularnie. Rozstrzyga to osobne badanie, ISO 27001 a NIS 2, i warto je zamówić razem z tym, bo część zbieranych danych jest wspólna. Zakres ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026