Dokumentacja ISO 27001 Gorzów Wielkopolski

Skąd bierze się treść dokumentów

Z rozmów z ludźmi, którzy wykonują opisywane czynności. Brzmi oczywiście, a w praktyce jest rzadkie, bo rozmowy są najdroższą częścią tej pracy i pierwszą, którą tanie oferty wycinają.

Wygląda to tak. Siadamy z osobą z kadr i pytamy, co dzieje się w dniu przyjęcia nowego pracownika: kto zgłasza, kto zakłada konto, kto wydaje kartę i sprzęt, gdzie to jest odnotowane. Potem to samo dla dnia odejścia. Z tych dwóch rozmów powstaje procedura zarządzania dostępem, która opisuje Waszą firmę, a nie wyobrażenie o firmie.

Z kim rozmawiamy	O czym	Co z tego powstaje
Zarząd	zakres systemu, apetyt na ryzyko, kto za co odpowiada	polityka bezpieczeństwa, role
Kadry	przyjęcie i odejście pracownika, szkolenia	procedura dostępów, zapisy szkoleń
Księgowość	dane, z którymi pracują, i sposób wymiany plików	zasady klasyfikacji informacji
Osoba od IT	kopie, aktualizacje, zmiany, incydenty	procedury operacyjne i rejestr incydentów
Kierownik produkcji	dostęp do hali, serwisanci, komputery przy maszynach	zasady stref i pracy dostawców
Magazyn	kto wchodzi na rampę, jak wygląda odbiór dostaw	zabezpieczenia fizyczne, kontrola wejść
Portiernia	wydawanie kluczy, ruch gości, zapisy z monitoringu	procedura wejść i nadzoru nad kluczami

Ostatnie trzy wiersze są tym, czego nie da się zebrać zdalnie. Kierownik zmiany nie odpisuje na maile z formularzem, a rozmowa z nim trwa kwadrans, jeśli ktoś przyjdzie do niego na halę.

Dlaczego to jest praca na miejscu

Bo w firmie produkcyjnej połowa procesów objętych normą dzieje się poza biurem i poza godzinami, w których ktoś odbiera telefon przy komputerze. Serwisant maszyny wchodzi w środę o szóstej rano i podłącza własny laptop do sieci sterowania. Dostawa przyjeżdża na rampę i kierowca czeka w hali. Klucz do pomieszczenia z szafą jest w portierni, a wpis do zeszytu robi się „jak się pamięta”.

Każda z tych sytuacji ma swoje odbicie w załączniku A i każdą trzeba opisać tak, jak wygląda, żeby dała się poprawić. Napisanie jej na podstawie ogólnej wiedzy o zakładach produkcyjnych daje dokument gładki i bezużyteczny.

Do gorzowskich firm przyjeżdżamy z własnego biura, więc drugi i trzeci termin wywiadów nie jest problemem organizacyjnym. To ma znaczenie, bo najciekawsze odpowiedzi padają zwykle przy drugim spotkaniu, kiedy rozmówca wie już, o co pytamy, i przypomina sobie sytuacje sprzed miesięcy.

Deklaracja stosowania, czyli dokument czytany najuważniej

To ona pokazuje, czy dobór zabezpieczeń wynika z analizy ryzyka, czy z chęci skrócenia listy. Piszemy ją tak, żeby przy każdym pominięciu stało zdanie odwołujące się do konkretnego ryzyka i konkretnej decyzji, a nie formuła o niestosowalności.

Uzasadnienie w rodzaju „nie dotyczy” przy zabezpieczeniu, które ewidentnie dotyczy firmy z halą i magazynem, jest pierwszą rzeczą, przy której audytor zatrzymuje się na dłużej. Lepiej zapisać, że zabezpieczenie zostanie wdrożone w przyszłym kwartale, niż udawać, że go nie potrzebujecie.

Wzory zapisów, czyli część, która decyduje o przetrwaniu systemu

Dokumentacja bez formularzy zamiera po kwartale, bo ludzie nie wiedzą, gdzie odnotować przegląd uprawnień ani jak wygląda zapis ze szkolenia. Dlatego komplet zawiera wzory, a wzory projektujemy pod osobę, która będzie je wypełniać.

W praktyce znaczy to jedną kartkę zamiast tabeli na dwanaście kolumn i zapis robiony przy okazji czynności, a nie po pół roku z pamięci. Kilka firm prowadzi te zapisy na papierze i to jest w porządku, o ile mają datę i podpis.

Kiedy dokumentacja wystarczy, a kiedy nie

Wystarczy, jeśli analizę ryzyka i zabezpieczenia prowadzicie własnymi siłami, a brakuje Wam wyłącznie opisu. Nie wystarczy do certyfikacji, bo jednostka bada dowody działania systemu rozłożone w czasie, a te powstają dopiero po uruchomieniu procedur.

Pełną drogę do certyfikatu, razem z harmonogramem i rolą jednostki certyfikującej, znajdziecie przy wdrożeniu ISO 27001 w Gorzowie. Jeśli chcecie najpierw poznać skalę braków, punktem wyjścia jest audyt zgodności. Certyfikat w obu przypadkach wydaje niezależna jednostka po własnym badaniu, a my odpowiadamy za przygotowanie do niego.

Treść sprawdzona i zaktualizowana: 7 września 2026