ISO 27001 Białystok, od czego zacząć

Czym jest ta norma dla firmy, która informatykę kupuje na zewnątrz?

Zestawem wymagań wobec procesu, a nie wobec sprzętu. Norma nie mówi, jaką zaporę kupić ani ile kopii trzymać. Mówi, żeby ustalić, co chronicie, ocenić ryzyko, dobrać do niego zabezpieczenia, sprawdzać, czy działają, i poprawiać to, co nie działa. Dlatego dwie firmy z tym samym certyfikatem mogą mieć zupełnie inne rozwiązania techniczne i obie mieć rację.

Dla firmy spod Białegostoku, która program handlowy ma u dostawcy, pocztę w chmurze, a obsługę informatyczną kupuje z zewnątrz, wniosek jest wygodny i niewygodny naraz. Wygodny, bo dużą część zabezpieczeń technicznych ktoś już dla Was utrzymuje. Niewygodny, bo za sam fakt, że to działa, nie dostaniecie w tej normie ani jednego punktu, dopóki nie pokażecie, kto tego pilnuje i na jakiej podstawie.

Czego nie da się zlecić razem z resztą informatyki?

Trzech rzeczy i jest to najkrótsza odpowiedź na pytanie, po co w ogóle w projekcie zarząd.

Wymaganie	Kto musi to zrobić	Co się dzieje, gdy tego nie ma
Wyznaczenie granic systemu	kierownictwo firmy	badanie obejmuje więcej, niż zamierzaliście, i kosztuje więcej
Zatwierdzenie kryteriów przyjęcia ryzyka	kierownictwo firmy	rejestr ryzyk nie ma miary, więc nie da się go rozliczyć
Przegląd zarządzania	kierownictwo firmy	brak dowodu, że ktokolwiek nadzoruje system
Ocena ryzyka	Wasi ludzie, my prowadzimy metodę	ryzyka opisane z zewnątrz nie trafiają w realia firmy
Dokumentacja procesów	my, na podstawie rozmów z Wami	procedury opisują firmę, której nie ma
Zabezpieczenia techniczne	dostawca informatyki albo my	brak pokrycia dla decyzji z planu postępowania
Zbieranie dowodów	Wasi ludzie w codziennej pracy	system istnieje na papierze i tylko tam

Wiersze z pierwszej części tabeli są powodem, dla którego projekt prowadzony w całości przez firmę zewnętrzną zatrzymuje się na pierwszym pytaniu audytora skierowanym do prezesa. Nie chodzi o formalność. Kryteria przyjęcia ryzyka są decyzją biznesową, bo mówią, na jaką stratę godzi się właściciel, a tego nie policzy za niego żaden doradca.

Co w tej normie jest obowiązkowe, a co zależy od ryzyka?

Obowiązkowe są rozdziały od czwartego do dziesiątego, czyli sam system zarządzania. Idą po kolei od kontekstu organizacji, przez rolę kierownictwa, planowanie i zasoby, aż po ocenę wyników oraz doskonalenie. Nie da się ich pominąć, niezależnie od wielkości firmy, i to one decydują o tym, czy system jest czymś więcej niż zestawem plików.

Załącznik A działa inaczej. Wymienia dziewięćdziesiąt trzy zabezpieczenia, z których wybieracie te wynikające z oceny ryzyka, a każde pominięcie uzasadniacie w deklaracji stosowania. To ten dokument audytor czyta najuważniej, bo z niego widać, czy dobór był decyzją, czy przepisaniem cudzego wzorca.

W firmie obsługiwanej przez sieć uwaga skupia się na kilku pozycjach tego załącznika naraz. Zabezpieczenia dotyczące relacji z dostawcami, umów, łańcucha dostaw technologii, przeglądu świadczonych usług i korzystania z chmury. Wszystkie pięć opisuje dokładnie to, jak dziś pracujecie.

Co norma obejmuje poza komputerami?

Informacje w każdej postaci, także te, które nigdy nie trafiły do żadnego systemu. W zakładzie przetwórczym pod Białymstokiem będą to receptury i karty procesu, w hurtowni warunki handlowe uzgodnione z dostawcą, w każdej firmie akta pracownicze i wiedza ludzi, którzy odchodzą.

Spora część pracy dotyczy zresztą kadr, a nie techniki. Kto nadaje dostęp pierwszego dnia zatrudnienia, kto odbiera go ostatniego, co podpisuje osoba przyjmowana na sezon i gdzie ten podpis leży rok później. Przy zatrudnieniu sezonowym, typowym dla przetwórstwa, te pytania wracają kilka razy w roku i właśnie dlatego bywają najsłabszym punktem całego systemu.

Od czego zacząć, żeby nie zapłacić dwa razy?

Od odpowiedzi na pytanie, kto tego od Was oczekuje i po co. Jeśli wymaga tego umowa z odbiorcą, zaczynamy od audytu zerowego i układamy harmonogram pod termin z tej umowy. Jeśli powodem jest chęć podniesienia bezpieczeństwa, tańszym pierwszym krokiem bywa zwykły audyt IT, bo uporządkowanie kopii, dostępów i sieci daje więcej niż zbudowanie systemu zarządzania nad nieuporządkowaną infrastrukturą.

Kolejność ma znaczenie także dla rachunku. Firma, która najpierw nadrabia technikę, wchodzi we wdrożenie z krótszą listą braków i płaci za mniej pracy doradczej. Zakres samego badania zgodności opisuje audyt ISO 27001, a przebieg całego projektu wdrożenie ISO 27001.

Komu odradzamy ten projekt?

Firmie, która chce mieć papier na stronie i nie zamierza utrzymywać systemu przez kolejne lata. Certyfikat jest ważny trzy lata, ale badanie nadzoru odbywa się co roku, więc utrzymanie jest częścią decyzji, a nie dodatkiem do niej. System porzucony po odebraniu dokumentu kończy się jego utratą przy pierwszym nadzorze i pieniędzmi wydanymi bez efektu.

W takich rozmowach proponujemy zgodność bez certyfikacji. Ten sam zakres merytoryczny, bez opłaty jednostki, i dla większości pytań od kontrahentów to wystarcza. Rozmowę o wyborze drogi umówicie przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026