Audyt ISO 27001 Toruń

Co macie już zrobione, jeśli utrzymujecie system jakości?

Więcej, niż się firmom wydaje, i mniej, niż wynikałoby z liczby segregatorów. Zakład spożywczy przechodzący regularne kontrole odbiorców ma wypracowaną rzecz, której brakuje większości firm usługowych: umie prowadzić zapisy i umie udowodnić, że coś się wydarzyło konkretnego dnia. To jest dokładnie ta umiejętność, na której stoi norma bezpieczeństwa informacji.

Wymaganie normy	Odpowiednik w systemie jakości	Czego brakuje
Nadzór nad dokumentacją	procedury z wersją i datą wydania	objęcie nim dokumentów o bezpieczeństwie
Zapisy jako dowód	karty kontrolne i protokoły	zapisy z dostępów, kopii i incydentów
Działania korygujące	reakcja na niezgodność produktową	ta sama ścieżka dla zdarzenia informacyjnego
Analiza zagrożeń	analiza zagrożeń dla wyrobu	analiza ryzyka dla informacji i systemów
Szkolenia załogi	szkolenia z higieny i procedur	część o phishingu, hasłach i nośnikach
Nadzór nad dostawcami	ocena dostawców surowca	ocena dostawców usług informatycznych
Audyt wewnętrzny	prowadzony cyklicznie	rozszerzenie planu o obszar informacji
Przegląd zarządzania	odbywa się co roku	punkt o bezpieczeństwie w tym samym przeglądzie

Wniosek z tej tabeli bywa dla zarządu zaskakujący i zwykle dobry: firma nie musi budować drugiego systemu zarządzania obok istniejącego. Musi rozszerzyć przedmiot tego, który już działa, i dołożyć obszary, których w systemie jakości nie ma z definicji.

Czego system jakości nie pokryje ani w części?

Trzech rzeczy i tam schodzi zwykle większość pracy po badaniu. Pierwsza to rejestr ryzyk dla informacji. Zakład zna zagrożenia dla wyrobu, ale nie ma zapisanej odpowiedzi na pytanie, co się stanie po utracie dostępu do systemu magazynowego w szczycie kampanii ani ile warta jest receptura poza firmą.

Druga to zabezpieczenia techniczne opisane z uzasadnieniem. Firmy mają Microsoft 365, kopie w Veeam, kontroler domeny i firewall, ale nie mają zapisu, z jakiego ryzyka wynika dana konfiguracja. Audytor pyta nie o to, czy coś działa, tylko dlaczego zdecydowaliście się właśnie na to.

Trzecia to dowody z obszaru informatycznego zbierane cyklicznie: przegląd uprawnień, wynik testowego odtworzenia kopii, rejestr zgłoszeń, ślad po zmianach w konfiguracji. Bez nich system istnieje na papierze, a badanie zamyka się na pierwszym pytaniu o zapis.

Jak wygląda lista niezgodności, którą oddajemy?

Każda pozycja ma cztery rzeczy: opis stanu faktycznego, punkt normy, wagę oraz oszacowanie pracy z podziałem na Wasz zespół i pomoc z zewnątrz. Wagę ustawiamy tak, jak zrobiłby to audytor jednostki, czyli oddzielamy niezgodności zatrzymujące certyfikację od spostrzeżeń, które trzeba domknąć, ale nikt przez nie nie odsyła firmy do poprawki.

Do tego dochodzi kolumna, której u jednostki nie znajdziecie: wskazanie, którą istniejącą procedurę wystarczy rozszerzyć. W praktyce to ona decyduje o koszcie całości, bo różnica między napisaniem dokumentu od zera a dopisaniem do niego rozdziału jest kilkukrotna.

Po co robić to badanie, jeśli nikt nie żąda certyfikatu?

Bo pytanie o bezpieczeństwo informacji przychodzi do toruńskich firm częściej niż wymóg certyfikatu i przychodzi z zewnątrz. Sieć handlowa dopisuje do kwestionariusza dostawcy sekcję o dostępach i incydentach. Ubezpieczyciel pyta o kopie i o uwierzytelnianie. Kontrahent zagraniczny przysyła ankietę na kilkadziesiąt pozycji i oczekuje odpowiedzi w tydzień.

Raport z niezależnego badania odpowiada na te pytania jednym dokumentem i zwykle wystarcza. Certyfikat dokłada się później, gdy zaczyna być warunkiem w umowie, a nie tematem rozmowy. Co obejmuje sama norma, rozpisuje ISO 27001 w Toruniu, a różnicę wobec obowiązków ustawowych wyjaśnia ISO 27001 a NIS 2.

Co dzieje się po oddaniu raportu?

Nic, jeśli tak zdecydujecie, bo dokument jest Wasz i nie zobowiązuje do dalszych zamówień. Firmy, które idą dalej, mają zwykle dwie drogi. Przy krótkiej liście braków wystarcza sam komplet dokumentacji i praca własnego zespołu. Przy dłuższej sensowniejsze jest prowadzone wdrożenie, bo koszt rośnie wtedy przewidywalnie, a nie przy każdym kolejnym odkryciu.

Stan samej infrastruktury, czyli sprzętu, kopii i sieci, to osobne pytanie, na które odpowiada audyt IT. Termin badania umawiamy przez kontakt.

Czego to badanie nie daje?

Certyfikatu ani żadnego dokumentu o skutkach formalnych. Nie zastępuje audytu jednostki certyfikującej i nie skraca jej procedury. Nie oceniamy zgodności z wymaganiami żywnościowymi ani z zaleceniami inspekcji, bo to inna dziedzina i inni audytorzy.

Nie prowadzimy też testów penetracyjnych. Badanie zgodności dotyczy systemu zarządzania, czyli tego, czy firma panuje nad ryzykiem w sposób powtarzalny, a nie tego, czy da się do niej włamać w jeden weekend.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026