Dokumentacja ISO 27001 Gdańsk

Dlaczego zaczynamy od wykazu informacji

W większości projektów pierwszym powstającym dokumentem jest polityka, bo tak wygląda spis treści w każdym poradniku. W firmie obsługującej obrót międzynarodowy taka kolejność mści się natychmiast, ponieważ polityka opisuje zasady postępowania z czymś, czego nikt jeszcze nie nazwał, a nazwać trzeba sporo.

Obok danych własnych leżą tu dokumenty przysłane przez klienta, dane kontrahenta z drugiego końca trasy, materiał przekazany przez przewoźnika i korespondencja z podmiotem, którego zobowiązania wobec Was są zapisane w kontrakcie sprzed trzech lat. Każdy z tych zbiorów ma innego właściciela, inny czas życia i innego adresata pytania o niego. Wykaz jest jedynym dokumentem, który to porządkuje, i dlatego powstaje pierwszy.

Jak taki wykaz wygląda w praktyce

Klasa informacji	Przykład z Waszej pracy	Kto ma do niej sięgać	Jak długo ma istnieć
Dokumentacja sprawy klienta	zgłoszenia, załączniki, korespondencja	osoba prowadząca sprawę i jej zastępstwo	zgodnie z obowiązkiem właściwym dla działalności
Dane identyfikacyjne osób	pełnomocnictwa, upoważnienia, kopie dokumentów	wąska grupa obsługująca formalności	do końca okresu wymaganego przy sprawie
Warunki handlowe	stawki, umowy ramowe, kalkulacje	zarząd i handel	przez okres umowy i po nim według przepisów
Dane kontaktowe kontrahentów	osoby po drugiej stronie, ich telefony	cały zespół operacyjny	do zakończenia współpracy i przeglądu
Materiał uwierzytelniający	klucze, certyfikaty, dane logowania	wskazane osoby techniczne	do wygaśnięcia, potem usunięcie
Zapisy z systemów	logi, historia operacji, zgłoszenia	osoba prowadząca system i badający	okres ustalony świadomie, nie domyślny
Dokumenty pracownicze	akta, szkolenia, karty obiegowe	kadry i przełożony	zgodnie z przepisami prawa pracy
Materiały robocze	kopie na pulpitach, wydruki, notatki	osoba, która je wytworzyła	do zamknięcia sprawy, potem usunięcie

Ostatni wiersz jest w tej tabeli najważniejszy i zwykle najbardziej zaskakuje. Materiały robocze nie są zbiorem, który ktoś zaplanował, więc nigdy nie dostają terminu, a po dwóch latach zajmują więcej miejsca i niosą więcej ryzyka niż uporządkowane archiwum, do którego nikt nie zagląda.

Co z tego wynika dla pozostałych dokumentów

Wykaz przestaje być po jego napisaniu osobnym plikiem i staje się szkieletem całego kompletu. Zasady dostępu przestają brzmieć ogólnie, bo odwołują się do konkretnych klas. Rejestr ryzyk dostaje pozycje przypisane do zbiorów, a nie do systemów. Procedura postępowania ze sprzętem zyskuje zdanie o tym, co wolno na nim trzymać, i to zdanie ma pokrycie w tabeli, a nie w czyimś przekonaniu.

Zysk widać najwyraźniej przy pytaniu z zewnątrz. Kontrahent, który pyta, w jakim zakresie przetwarzacie jego dane i jak długo je trzymacie, dostaje odpowiedź wyciągniętą z jednego dokumentu, zamiast czekać na zbieranie informacji z pięciu działów.

Procedura, którą da się wykonać poza biurem

Zespół pracujący w terenie nie wykona kroku wymagającego zalogowania się do osobnego programu po powrocie do biura, bo do biura wraca dwa razy w tygodniu. Dokument opisujący taki krok jest formalnie poprawny i praktycznie martwy, więc przy badaniu wychodzi jako brak dowodów, choć praca była wykonana.

Piszemy więc procedury dwustopniowo. W dokumencie zostaje pełny opis dla osoby prowadzącej system i dla badającego. Dla wykonawcy powstaje wersja krótka, mieszcząca się na ekranie telefonu, i podpięta pod czynność, którą i tak wykonuje: zgłoszenie w systemie zleceń, wiadomość na wskazany adres, jedno pole w karcie sprawy.

Największą różnicę robi przy tym zgłoszenie zdarzenia. Osoba, która zorientuje się na parkingu, że nie ma laptopa, potrzebuje jednego numeru telefonu i jednego zdania o tym, co powiedzieć. Procedura, która w tym momencie odsyła do segregatora, nie zostanie użyta ani razu.

Które dokumenty wysyłacie, a które zostają u Was

Podział robimy przy pisaniu, ponieważ w tej branży dokumentacja jest wysyłana regularnie: przy ankiecie bezpieczeństwa, przy podpisywaniu umowy ramowej, przy pytaniu operatora o zasady obowiązujące wpuszczane firmy.

Do wysłania nadają się polityka, zakres systemu, zasady dostępu, procedura zgłaszania zdarzeń i wymagania stawiane dostawcom. Zostają u Was rejestr ryzyk, szczegóły konfiguracji i wykaz materiału uwierzytelniającego. Granica jest prosta: na zewnątrz idzie opis sposobu pracy, a nie mapa tego, gdzie w firmie jest najsłabiej.

Rozdzielanie tego później zawsze kończy się dwiema wersjami jednego dokumentu, a po roku dwie wersje mówią co innego i jedna z nich trafia do kontrahenta.

Kiedy komplet zamawia się osobno

Wtedy, gdy ocenę ryzyka prowadzicie samodzielnie, zabezpieczenia są wdrożone, a brakuje wyłącznie warstwy opisowej, na przykład dlatego, że kontrahent poprosił o przesłanie polityki przed podpisaniem umowy. Opis zamyka wówczas projekt prowadzony wcześniej Waszym własnym zespołem.

Nie wystarczy natomiast wtedy, gdy granica systemu nie została wyznaczona i nie ma rejestru ryzyk, ponieważ deklaracja stosowania nie miałaby wówczas na czym się oprzeć. Zaczynamy w takim wypadku od badania zgodności, a dalszą część drogi pokonuje wdrożenie. Samą normę przybliża ISO 27001. Zakres dokumentów ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026