Dokumentacja ISO 27001 Kielce

Z czego składa się ten komplet?

Z pięciu warstw, które powstają w ustalonej kolejności, bo każda kolejna opiera się na poprzedniej. Najpierw zakres systemu i polityka, czyli decyzja, co obejmujemy i kto za to odpowiada. Potem metoda oceny ryzyka razem z rejestrem i planem postępowania, bo bez niej nie da się uzasadnić żadnego dalszego wyboru. Następnie deklaracja stosowania, wynikająca wprost z tego rejestru. Dalej procedury operacyjne dla obszarów, które z ryzyka wyszły jako istotne. Na końcu wzory zapisów, czyli formularze, które ktoś będzie wypełniał przez kolejne lata.

Ostatnia warstwa bywa lekceważona, a decyduje o tym, czy system przeżyje pierwszy rok. Procedura, do której nie dołączono prostego miejsca na zapis, zamienia się w dokument czytany raz, przy szkoleniu wstępnym.

Który z tych dokumentów wolno wysłać zamawiającemu?

To pytanie pojawia się w kieleckich firmach szybciej niż samo wdrożenie, bo zanim ktokolwiek pomyśli o certyfikacie, przychodzi wniosek o przedstawienie polityki bezpieczeństwa albo opisu stosowanych zabezpieczeń. Odpowiedź brzmi: część tak, część w skrócie, a część nie powinna opuszczać firmy, bo jest spisem Waszych słabych punktów.

Dokument	Co zawiera	Czy nadaje się do wysłania
Polityka bezpieczeństwa informacji	zasady ogólne i zobowiązanie kierownictwa	tak, powstaje z myślą o czytelniku z zewnątrz
Zakres systemu	granice, procesy i adresy objęte systemem	tak, i tak trafia na certyfikat
Deklaracja stosowania	wykaz zabezpieczeń i uzasadnienia pominięć	zwykle tak, bywa wprost wymagana
Rejestr ryzyk	zagrożenia, ocena i to, czego jeszcze nie zrobiono	nie, opisuje słabe punkty firmy
Procedury operacyjne	konkretne kroki, systemy i nazwy narzędzi	tylko w streszczeniu, na żądanie
Raporty z audytów wewnętrznych	znalezione niezgodności i terminy napraw	nie, chyba że wymaga tego umowa
Wypełnione zapisy	daty, nazwiska, treść zgłoszeń	nie, to materiał dla audytora na miejscu

Dlatego przy każdym dokumencie stawiamy oznaczenie i krótkie zdanie, komu wolno go przekazać. Bez tego decyzję podejmuje osoba, która akurat odpowiada na pismo w ostatnim dniu terminu, a przy odpowiedzi na pytanie o bezpieczeństwo najgorszą odpowiedzią jest odesłanie kompletu w załączniku.

Streszczenie polityki i opis zabezpieczeń, przygotowane w tym samym kompletcie, zamykają większość takich pytań w jednym pliku na dwie strony.

Kto musi zrozumieć te dokumenty, żeby były cokolwiek warte?

Nie audytor, choć on je przeczyta. Kierownik budowy, magazynier, osoba w kadrach i handlowiec przygotowujący ofertę, bo to oni podejmują decyzje opisane w procedurach. Dokument napisany tak, że wymaga normy w drugiej ręce, jest kosztem, a nie zabezpieczeniem.

Ma to praktyczne konsekwencje dla języka i dla objętości. Procedura zgłaszania incydentu w firmie, w której połowa ludzi pracuje poza biurem, musi mieścić się na jednej stronie i zaczynać się od numeru telefonu. Zasady pracy z dokumentacją muszą odnosić się do sytuacji, które naprawdę się zdarzają: rysunek pobrany na tablet, wydruk zabrany na plac, plik przesłany podwykonawcy. Napisanie tego wymaga rozmowy z tymi ludźmi, dlatego etap zbierania materiału jest dłuższy niż samo pisanie.

Co trzeba zmieniać po każdej większej inwestycji?

Mniej, niż się wydaje, ale zawsze te same miejsca, i po to jest instrukcja utrzymania. Zmienia się lista podmiotów, którym powierzacie dane, bo doszli albo odeszli wykonawcy. Zmienia się rejestr ryzyk, jeśli inwestycja wprowadziła nowy sposób pracy, na przykład stały dostęp inwestora do części dokumentacji. Zmieniają się uprawnienia, bo zespół projektu został rozwiązany, a jego katalogi zostały.

Reszta kompletu przeżywa spokojnie kilka lat. Polityka, metoda oceny ryzyka i procedury operacyjne zmieniają się przy zmianie sposobu działania firmy, a nie przy każdym kontrakcie. Rozdzielenie tych dwóch grup jest częścią dokumentacji, żeby przegląd roczny nie oznaczał czytania wszystkiego od nowa.

Czego papier nie zrobi za Was?

Nie zbierze dowodów, bo te powstają wyłącznie w czasie i wyłącznie wtedy, gdy ktoś pracuje według procedury. Nie wdroży zabezpieczeń technicznych, więc zapisana zasada szyfrowania dysków nie zaszyfruje ani jednego laptopa. Nie zastąpi decyzji zarządu o zakresie i o kryteriach ryzyka, bo te są wymagane wprost i podpisuje je człowiek, nie dokument.

Komplet dokumentów bez pozostałych etapów jest natomiast sensownym zakupem w jednej sytuacji: gdy firma prowadzi wdrożenie sama i potrzebuje wyłącznie poprawnie napisanej podstawy. Pełny przebieg projektu opisuje wdrożenie ISO 27001, dystans do wymagań mierzy audyt zgodności, a samą normę wyjaśnia ISO 27001. Zakres kompletu ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026