ISO 27001 Bydgoszcz, norma w zakładzie

Co w zakładzie na zlecenie jest chronioną informacją

Pierwsza rozmowa o tej normie prawie zawsze zaczyna się od nieporozumienia. Zarząd zakłada, że chodzi o serwery i o hasła, więc temat trafia do osoby zajmującej się informatyką i tam grzęźnie. Tymczasem norma pyta najpierw o coś innego: co konkretnie w tej firmie ma wartość, którą można stracić.

W bydgoskim zakładzie pracującym na zlecenie odpowiedź rzadko dotyczy infrastruktury. Dotyczy tego, co przyszło od odbiorcy i tego, co powstało wewnątrz przez lata prób.

Rodzaj informacji	Skąd trafia do firmy	Gdzie zwykle leży	Co się dzieje, gdy wypłynie
Rysunek techniczny odbiorcy	załącznik do zamówienia	skrzynka technologa i dysk wspólny	roszczenie z umowy i utrata zlecenia
Program obróbki	powstaje u Was albo przychodzi z zewnątrz	pamięć maszyny i nośnik wymienny	ktoś inny wykonuje tę samą część
Parametry procesu	wypracowane przez lata prób	arkusz na dysku i pamięć brygadzisty	przewaga budowana latami przestaje istnieć
Kalkulacja zlecenia	dział handlowy	arkusz krążący w poczcie	odbiorca zna Waszą granicę negocjacji
Warunki u dostawców	zakupy	program handlowy	konkurent kupuje u tych samych źródeł
Dane załogi i agencji	kadry i portiernia	system kadrowy oraz papier w hali	skarga i obowiązek zgłoszenia zdarzenia
Hasła do sterowników i sieci	utrzymanie ruchu	segregator i pamięć jednej osoby	postój do czasu przyjazdu serwisu
Prognoza zamówień odbiorcy	wymiana danych z klientem	poczta i program produkcyjny	ujawnienie planów Waszego klienta

Trzy pierwsze wiersze są tymi, przez które ten temat w ogóle trafia do zakładów. Odbiorca powierzający dokumentację chce wiedzieć, jak ją chronicie, i coraz częściej pyta o to na piśmie, zanim podpisze kolejny kontrakt.

Dwa rodzaje wymagań i to, co z nich wynika na hali

Pierwszy rodzaj to rozdziały od czwartego do dziesiątego, czyli sam sposób zarządzania: kontekst, przywództwo, planowanie, wsparcie, działanie, ocena wyników i doskonalenie. Nie da się ich pominąć ani zawęzić, niezależnie od tego, czy firma zatrudnia piętnaście osób, czy sto pięćdziesiąt.

Drugi rodzaj wymagań stoi w załączniku A, który jest katalogiem środków, a nie listą obowiązków. Wybór należy do Was i wynika z oceny ryzyka, a rezygnacja z któregokolwiek środka wymaga powodu zapisanego w deklaracji stosowania. W zakładzie ten wybór wygląda inaczej niż w biurze: rozrasta się część o strefach, kluczach, nośnikach wymiennych i o pracy serwisantów zewnętrznych, a kurczy się część dotycząca wytwarzania oprogramowania.

Czego norma wymaga od zarządu, a czego od utrzymania ruchu

Podział jest wyraźniejszy, niż zakłada większość firm, i warto go ustalić na początku, bo od niego zależy, czy projekt ruszy.

Po stronie właściciela zostają cztery rzeczy nie do przekazania: zatwierdzenie zakresu systemu, przyjęcie kryteriów akceptacji ryzyka, przydzielenie zasobów oraz przegląd zarządzania raz w roku przy stole i z protokołem. Razem to kilkanaście godzin rocznie, ale bez nich audytor stwierdza brak podstawowego wymagania i żadna praca niżej tego nie nadrobi.

Po stronie utrzymania ruchu i informatyki zostaje reszta, czyli nadzór nad dostępami, nośnikami, konfiguracją i serwisami zewnętrznymi. To jest praca ciągła, rozpisana na cały rok, i to ona wytwarza dowody, o które pyta badanie.

Kto o to pyta i co zwykle akceptuje

Odbiorca z branży motoryzacyjnej albo z farmacji pyta najczęściej i pyta najkonkretniej, bo sam ma to zapisane w swoich wymaganiach wobec dostawców. Ubezpieczyciel pyta przy odnowieniu polisy i zwykle wystarcza mu opis środków poparty dowodami. Bank pyta przy finansowaniu inwestycji i interesuje go głównie ciągłość działania.

Wspólny mianownik jest taki, że pytający chce wiedzieć, czy jesteście przewidywalni, a nie czy macie dokument na ścianie. Firma z uporządkowanym systemem i bez certyfikatu odpowiada na ankietę lepiej niż firma z certyfikatem i bez zapisów, bo zapisy są jedyną rzeczą, którą da się pokazać.

Od czego zacząć, gdy nikt niczego nie opisał

Od dwóch pytań: kto tego od Was oczekuje i do kiedy. Jeśli wskazujecie konkretny kontrakt i konkretny kwartał, zaczynamy od audytu zerowego, a harmonogram liczymy wstecz od tej daty.

Jeśli chodzi o realne bezpieczeństwo bez zewnętrznego wymogu, tańszym pierwszym krokiem bywa audyt IT, czyli uporządkowanie kopii, dostępów i podziału sieci. Zakład, który najpierw nadrobi technikę, wchodzi we wdrożenie z krótszą listą braków, więc płaci za mniej pracy doradczej.

Kiedy mówimy, że nie warto

Gdy nikt tego od Was nie wymaga, a w firmie brakuje rzeczy pilniejszych. System zarządzania nie naprawi kopii leżącej w tej samej szafie co serwer ani nie zamknie kont po osobach, które odeszły dwa lata temu. Te dwie rzeczy robi się taniej i szybciej osobno.

Nie warto też wtedy, gdy powodem jest jedno pytanie w jednej ankiecie. Wtedy odpowiada na nie badanie zgodności, za ułamek kosztu pełnego projektu. Warto natomiast, gdy dokument zaczyna wracać w kolejnych kontraktach albo gdy podlegacie obowiązkom sektorowym, o czym mówi osobno zestawienie normy z NIS 2. Całą drogę prowadzi wdrożenie, a komplet polityk powstaje przy dokumentacji.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026