Audyt ISO 27001 Warszawa

Trzy badania, które łatwo pomylić

W warszawskich spółkach, zwłaszcza tych obsługujących duże organizacje, słowo audyt pada w trzech różnych znaczeniach w ciągu jednego kwartału. Za każdym razem chodzi o tę samą normę i za każdym razem chodzi o coś innego.

Rodzaj	Kto prowadzi	Po co powstaje	Czy wolno doradzać
Wewnętrzny	osoba niezależna od badanego obszaru	wymaganie samej normy, cykliczne	tak, to część systemu
Sprawdzenie przez klienta	dział zgodności zamawiającego	realizacja prawa z umowy	nie, klient ocenia dostawcę
Badanie jednostki	akredytowana jednostka certyfikująca	wydanie i utrzymanie certyfikatu	nie, doradzanie wykluczałoby ją z roli
Pomiar gotowości	doradca przed każdym z powyższych	odległość od zgodności, wyrażona liczbą	tak i po to się go zamawia

Ostatni wiersz to nasze zlecenie. Jego jedyną przewagą jest właśnie możliwość powiedzenia wprost, co zmienić, i to jest powód, dla którego robi się je przed pozostałymi trzema, a nie zamiast nich.

Jak przygotować się na sprawdzenie przez klienta

Zaczynamy od umowy, nie od normy. Prawo sprawdzenia bywa opisane w kilku zdaniach, które przesądzają o wszystkim: czy klient przyjeżdża, czy przysyła kwestionariusz, ile ma dni na zapowiedź, jakich dokumentów może żądać i czy wolno mu rozmawiać z Waszymi ludźmi bez udziału zarządu.

Dopiero potem przechodzimy przez punkty, o które taki zespół pyta. Ich lista różni się od listy audytora jednostki, bo klienta interesuje przede wszystkim to, co dotyczy jego danych i jego usługi. Pyta o osoby z dostępem do swojego projektu, o rozdzielenie od innych klientów, o powiadamianie i o Waszych podwykonawców.

Najczęstszym brakiem nie są zabezpieczenia, tylko możliwość ich pokazania. Kontrola dostępu zwykle działa, ale nikt nie ma eksportu potwierdzającego, kto miał uprawnienia trzy miesiące temu.

Co robimy z polityką przysłaną przez centralę

Spółka należąca do grupy dostaje zwykle komplet zasad napisanych dla całej organizacji, często w innym języku i pod inną skalę działalności. Próba wdrożenia ich dosłownie kończy się systemem, którego nikt nie stosuje, bo opisuje procesy z centrali.

Robimy więc jedno zestawienie, wiersz po wierszu. Po lewej wymaganie z dokumentu grupowego, po prawej odpowiadające mu wymaganie normy, a w środku rozstrzygnięcie: przyjmujemy bez zmian, przyjmujemy z uzupełnieniem albo zostawiamy poza zakresem, bo dotyczy działalności, której ta spółka nie prowadzi.

Takie zestawienie ma dodatkową zaletę. Gdy centrala prosi o raport ze stanu zgodności, dostaje odpowiedź w swojej strukturze, a Wy nie prowadzicie drugiej dokumentacji na potrzeby jednej korespondencji rocznie.

Gdzie w spółce usługowej brakuje dowodów najczęściej

Przegląd uprawnień. Odbywa się, ale w rozmowie, więc nie zostaje po nim nic poza pamięcią dwóch osób.

Zamknięcie współpracy z podwykonawcą. Dostęp bywa odbierany, tylko nikt tego nie odnotowuje, a przy pytaniu o listę byłych kontraktorów okazuje się, że istnieje wyłącznie w księgowości.

Ocena dostawcy. Umowy z dostawcami usług chmurowych są podpisane, ale nikt nigdy nie zapisał, że ktoś je przejrzał pod kątem bezpieczeństwa i z jakim wnioskiem.

Rejestr ryzyk z jedną datą. Powstał przy okazji poprzedniego projektu i nikt do niego nie wrócił, co przy badaniu jest zawsze rozbieżnością dużą, niezależnie od tego, jak dobrze jest napisany.

Jak wygląda praca u Was i co dostajecie

Dzień pierwszy to dokumentacja i rozmowy z osobami pełniącymi role w systemie. Dzień drugi to dowody, czyli oglądanie zapisów w narzędziach, w których powstają, oraz przegląd zabezpieczeń. Trzeci to uzupełnienia i podsumowanie z zarządem.

Z Bielan dojeżdżamy w granicach miasta bez planowania trasy, więc dni na miejscu układamy pod Wasz kalendarz, a nie pod przejazdy. Rozmowy z osobami pracującymi z domu prowadzimy zdalnie tego samego dnia.

Raport wymienia rozbieżności z opisem wymagania, stanem faktycznym i rekomendacją, każda z nakładem pracy i wskazaniem wykonawcy. Piszemy go w układzie, który da się przekazać dalej bez przepisywania: audytorowi jednostki, działowi zgodności klienta albo centrali grupy.

Czego to badanie nie załatwia

Nie kończy się certyfikatem i nie ma skutków formalnych. Nie zastępuje cyklicznego audytu wewnętrznego, jeśli nie umówimy się na to wprost. Testów penetracyjnych ani przeglądu bezpieczeństwa oprogramowania w nim nie ma.

Wymagania samej normy tłumaczy ISO 27001, drogę do certyfikatu prowadzi wdrożenie, komplet polityk powstaje przy dokumentacji, a relację z obowiązkami ustawowymi wyjaśnia ISO 27001 a NIS 2. Termin badania umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026