Dokumentacja ISO 27001 Bydgoszcz

Dlaczego jedna zasada musi być zapisana dwa razy

Dokumentacja systemu ma dwóch odbiorców o zupełnie różnych nawykach czytania. Pierwszy to audytor, który oczekuje dokumentu opisującego wymaganie, wskazującego rolę i odwołującego się do zapisu. Drugi to technolog, brygadzista albo portier, który ma wykonać czynność w trakcie zmiany i nie sięgnie po dokument liczący osiem stron.

Komplet napisany wyłącznie dla pierwszego odbiorcy przechodzi pierwszy etap badania i wykłada się na drugim, czyli wtedy, gdy audytor wychodzi z sali konferencyjnej i zadaje pytanie komuś przy maszynie. Komplet napisany wyłącznie dla drugiego nie ma się czym wylegitymować. Dlatego piszemy obie wersje i wiążemy je ze sobą.

Zasada	Postać dla audytora	Postać robocza w zakładzie	Czego zwykle brakuje
Nośniki wymienne	dopuszczone wyłącznie nośniki firmowe, ewidencjonowane	oznakowany nośnik w szafce technologa i wpis w zeszycie	drugiej wersji, więc zasada nie dociera do nikogo
Wejście serwisanta	dostęp na podstawie zgłoszenia i pod nadzorem	kartka na portierni z listą pytań do zadania	listy pytań, więc portier improwizuje
Zgłoszenie zdarzenia	niezwłoczne powiadomienie wskazanej roli	numer telefonu przy stanowisku kierownika zmiany	numeru, bo dokument wskazuje rolę, a nie kontakt
Klucze do stref	wydawanie za potwierdzeniem i ewidencja	zeszyt na portierni z rubryką zwrotu	rubryki zwrotu, więc klucze krążą bez końca
Czyste stanowisko	dokumenty zabezpieczone poza godzinami pracy	zamykana szafka na rysunki przy maszynie	miejsca, w którym rysunek da się schować
Zmiana w systemie	zatwierdzenie przed wdrożeniem	zgłoszenie do utrzymania ruchu z polem akceptacji	zapisu, kto zmianę zatwierdził
Odejście pracownika	odebranie dostępów w dniu zakończenia pracy	punkt na karcie obiegowej	tego punktu, więc karta wraca bez udziału informatyki

Ostatni wiersz jest przykładem tego, jak tanie bywa domknięcie braku. Dopisanie jednej rubryki do formularza, który firma i tak wypełnia przy każdym odejściu, zamyka wymaganie, nad którym inaczej pracuje się miesiącami.

Skąd bierzemy treść

Z dwóch źródeł naraz i żadne z nich nie jest wzorcem z internetu. Pierwsze to rozmowy prowadzone tam, gdzie odbywa się opisywana czynność: przy portierni, przy stanowisku technologa, w pomieszczeniu z szafą. Padają tam odpowiedzi, których nie usłyszy się w sali konferencyjnej, bo dotyczą rozwiązań wypracowanych po drodze i nigdzie nie zgłoszonych.

Drugie to odczyt stanu faktycznego z systemów: kto ma uprawnienia, jak długo trzymane są zapisy zdarzeń, czy kopie wykonują się według opisanego rytmu. Rozjazdy między tymi dwoma źródłami są najcenniejszą częścią pracy, ponieważ wskazują miejsca do poprawienia szybciej niż jakakolwiek lista kontrolna.

Co robimy z istniejącymi procedurami jakości

Czytamy je przed napisaniem czegokolwiek. Zakład dostarczający do większych odbiorców zwykle prowadzi już system jakości, a razem z nim nadzór nad dokumentami, obieg zmian, ewidencję szkoleń i działania korygujące. Wszystkie te elementy norma bezpieczeństwa informacji stawia w bardzo podobnym kształcie.

Dopisanie do istniejącej procedury jednego rozdziału jest wtedy tańsze i trwalsze od stworzenia drugiego dokumentu o tej samej nazwie. Trwalsze, bo firma ma już nawyk pracy z tym zestawem, a każdy równoległy system dokumentów kończy się tym, że jeden z nich przestaje być aktualizowany, zwykle ten nowszy.

Deklaracja stosowania w firmie pracującej na zlecenie

To dokument, przy którym audytor zatrzymuje się najdłużej, ponieważ pokazuje sposób myślenia, a nie stan wyposażenia. W zakładzie wykonującym zlecenia dochodzi jeszcze jeden wymiar: część środków wynika nie z Waszej oceny ryzyka, tylko z wymagań odbiorcy, który powierzył Wam swoją dokumentację techniczną.

Piszemy to wprost, z odwołaniem do konkretnego zapisu umowy, bo takie uzasadnienie jest mocniejsze od ogólnego zdania o dbałości o bezpieczeństwo. Pominięcia uzasadniamy równie konkretnie. Formuła o niestosowalności przy środku, który wyraźnie dotyczy firmy z halą i z magazynem, jest pierwszą rzeczą, o którą zapyta badający.

Ile z tego trafia na papier, a ile do systemu

Tyle, ile faktycznie zostanie wypełnione. Kierownik zmiany kończący ósmą godzinę pracy nie zaloguje się do osobnego programu, żeby odnotować wydanie klucza. Wypełni jedną rubrykę w zeszycie leżącym przy portierni, jeśli ten zeszyt ma datę i miejsce na podpis. Kilka bydgoskich firm prowadzi część zapisów odręcznie i jest to całkowicie w porządku.

W biurze jest odwrotnie: tam ślad powstaje sam w systemie zgłoszeń i w katalogu tożsamości, więc formularza nie tworzymy w ogóle. Każdy dołożony formularz to obowiązek ciążący na kimś przez kolejne lata, więc powstają wyłącznie te, bez których nie da się wykazać wymagania.

Kiedy sam komplet wystarczy, a kiedy nie

Wystarczy, gdy ocenę ryzyka prowadzicie samodzielnie, zabezpieczenia są wdrożone, a brakuje wyłącznie warstwy opisowej, na przykład dlatego, że odbiorca poprosił o przesłanie polityki bezpieczeństwa. Warstwa opisowa domyka wtedy projekt prowadzony wcześniej Waszymi siłami i kupuje się ją jako pojedyncze zlecenie.

Nie wystarczy, gdy nie zapadła decyzja o zakresie systemu ani nie istnieje rejestr ryzyk, bo deklaracja stosowania nie ma się wtedy z czego wziąć. Wtedy pierwszym krokiem jest badanie zgodności, a cały projekt prowadzi wdrożenie. Samą normę przybliża ISO 27001. Zakres dokumentów ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026