ISO 27001 Gdańsk, gdy liczy się dostępność

Dlaczego najdroższa bywa tutaj niedostępność

Rozmowa o bezpieczeństwie informacji zaczyna się prawie zawsze od wycieku. Ktoś zdobywa dane, dane trafiają nie tam, gdzie powinny, firma ma problem. Jest to scenariusz prawdziwy, tylko w obsłudze ruchu towarowego rzadko najkosztowniejszy.

Kosztowniejsza bywa godzina, w której nie da się sięgnąć do własnych danych. Zgłoszenie ma swój termin, kierowca ma swoje okno, statek ma swój harmonogram, a żadna z tych rzeczy nie czeka na przywrócenie serwera. Norma opisuje tę sytuację równie dokładnie jak wyciek, tylko ten fragment jest w rozmowach pomijany, bo brzmi jak temat dla informatyki, a nie dla zarządu.

Które zdarzenia i co dokładnie w nich tracicie

Zdarzenie	Co traci firma	Której własności dotyczy	Czego wymaga w tym miejscu norma
Zerwane łącze w porze zgłoszeń	terminy i zaufanie zleceniodawcy	dostępności	opisany scenariusz przerwy i droga zastępcza
Awaria serwera z bazą spraw	kilka godzin pracy całego zespołu	dostępności	kopia z mierzonym czasem odtworzenia
Wygasły certyfikat do systemu zewnętrznego	zatrzymana wymiana danych	dostępności	nadzór nad terminami i wskazany właściciel
Podmieniony numer rachunku w korespondencji	przelew wysłany nie tam, gdzie trzeba	integralności	uwierzytelnianie poczty i zasada potwierdzania
Błąd w danych przekazanych dalej	korekta, koszt i tłumaczenie się	integralności	kontrola zmian i ślad po każdej operacji
Zgubiony laptop z materiałem klientów	ryzyko ujawnienia cudzych dokumentów	poufności	szyfrowanie i zdalne unieruchomienie sprzętu
Konto byłego pracownika w cudzym systemie	otwarta droga do środowiska kontrahenta	poufności	przegląd uprawnień i powiadomienie drugiej strony
Zaszyfrowane przez napastnika dane	jednocześnie dostęp i pewność treści	wszystkich trzech	kopia poza zasięgiem oraz próba powrotu

Ostatni wiersz jest tym, który najczęściej porządkuje pierwszą rozmowę. Pojedyncze zdarzenie potrafi naruszyć trzy własności naraz, więc dzielenie budżetu na ochronę przed wyciekiem i osobno na ciągłość jest podziałem pozornym, a rejestr ryzyk pisany wyłącznie pod jedną z nich zawsze wychodzi niepełny.

Co w tej normie jest obowiązkowe, a co wybieracie sami

Podział przebiega w jednym miejscu i warto go znać przed pierwszą wyceną. Rozdziały od czwartego do dziesiątego opisują sam sposób zarządzania: kontekst organizacji, przywództwo, planowanie, wsparcie, działanie, ocenę wyników i doskonalenie. Obowiązują w komplecie, niezależnie od tego, ilu ludzi zatrudniacie i jak wąsko wyznaczycie granicę systemu.

Załącznik A jest czymś innym. To katalog środków, z którego bierzecie te wynikające z własnej oceny ryzyka, a każde pominięcie opisujecie powodem w deklaracji stosowania. Dwie firmy o tym samym profilu mogą zatem stosować zupełnie różne zestawy środków i obie być w porządku, o ile potrafią wyjaśnić swoje decyzje. Badający ocenia sposób myślenia, nie stan wyposażenia.

Ciągłość działania, czyli rozdział, przez który trafia tu najwięcej pracy

W firmach o profilu biurowym ten obszar bywa najlżejszy. Tutaj jest odwrotnie, ponieważ przerwa ma wymierną cenę i zwykle wiadomo, ile ona wynosi. Norma pyta o trzy rzeczy i wszystkie trzy da się przygotować bez dużych zakupów.

Pierwsza to opisany scenariusz. Co dokładnie przestaje działać, kto o tym decyduje, w jakiej kolejności wraca praca. Druga to czas, w jakim firma zobowiązuje się wrócić do normalnego działania, ustalony świadomie, a nie odczytany z parametrów sprzętu. Trzecia to próba, czyli dowód, że ktoś ten scenariusz kiedykolwiek przeszedł, choćby na sucho i przy stole.

Trzeci punkt jest tym, którego prawie nigdy nie ma. Plan istnieje, bywa nawet sensowny, tylko nikt go nie sprawdził, więc przy badaniu ma dokładnie taką wartość jak kopia zapasowa, z której nigdy niczego nie odtworzono.

Kogo przekonuje sama zgodność, a kto chce dokumentu

Operator terminalu i duży armator pytają najkonkretniej, bo mają to zapisane we własnych wymaganiach wobec podmiotów wpuszczanych na teren i do systemów. Zleceniodawca z przemysłu pyta przy odnowieniu umowy ramowej. Ubezpieczyciel pyta przy wycenie polisy i zwykle wystarcza mu opis środków poparty dowodami. Bank pyta przy finansowaniu i interesuje go przede wszystkim ciągłość.

Wspólny mianownik jest taki, że pytający chce wiedzieć, czy jesteście przewidywalni. Firma z uporządkowanym systemem i bez certyfikatu odpowiada na ankietę lepiej niż firma z certyfikatem i bez zapisów, ponieważ zapisy są jedyną rzeczą, którą da się pokazać. Dokument staje się konieczny wtedy, gdy warunek wpisano wprost do umowy albo do warunków postępowania.

Od czego zacząć i kiedy odradzamy

Od dwóch pytań: kto tego od Was oczekuje i do kiedy. Mając nazwę kontrahenta i termin, zaczynamy od audytu zerowego, a harmonogram liczymy wstecz od tej daty.

Jeżeli chodzi o realne bezpieczeństwo, a nie o wymóg z zewnątrz, tańszym pierwszym krokiem bywa audyt IT, czyli uporządkowanie kopii, uprawnień i łączy. Odradzamy natomiast wtedy, gdy za całym tematem stoi jedno pytanie w jednej ankiecie, bo taki przypadek zamyka badanie zgodności za ułamek kwoty pełnego projektu. Za wdrożeniem warto się opowiedzieć wtedy, gdy wymaganie wraca w kolejnych kontraktach albo gdy dokładają się do niego obowiązki sektorowe, opisane przy zestawieniu normy z NIS 2. Przez wszystkie etapy, od warsztatu po zamknięcie uwag jednostki, prowadzi wdrożenie, a polityki i wykazy powstają przy dokumentacji.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026