ISO 27001 w Gorzowie Wielkopolskim

Co ta norma oznacza dla firmy, która ma trzydzieści osób

Tyle samo co dla korporacji, tylko w innej skali. Wymagania są identyczne, bo norma nie zna progów wielkości, natomiast sposób ich spełnienia w małej firmie wygląda zupełnie inaczej. Zamiast działu bezpieczeństwa jest jedna osoba, która ma to w zakresie obowiązków obok innych zadań. Zamiast kwartalnych komitetów jest godzinne spotkanie zarządu raz w roku.

To działa i przechodzi audyty, pod jednym warunkiem: system musi opisywać prawdziwą firmę. Trzydziestoosobowy zakład, który dostał dokumentację napisaną dla organizacji z pięcioma szczeblami zarządzania, przez pierwszy rok udaje, że ją stosuje, a potem porzuca.

Jak wyznaczamy zakres systemu w gorzowskiej firmie

Zakres to pierwsza i najtańsza decyzja w całym projekcie. Objęcie normą całej działalności bywa naturalne w firmie usługowej, a w zakładzie produkcyjnym często oznacza dokładanie do systemu obszarów, których nikt od Was nie oczekuje.

Profil firmy	Co zwykle wchodzi do zakresu	Co zostaje poza
Biuro rachunkowe do 30 osób	całość działalności, bo każdy proces dotyka danych klientów	zwykle nic, zakres pokrywa się z firmą
Hurtownia z magazynem	obsługa zamówień, systemy handlowe, rampa i kontrola wejść	flota i procesy, które nie dotykają chronionych informacji
Zakład produkcyjny, jedna lokalizacja	biuro, serwerownia, magazyn, dostęp serwisantów maszyn	sieć sterowania linią, opisana jako osobne ryzyko
Firma usługowa z działem projektowym	dokumentacja klientów, środowiska testowe, praca zdalna	księgowość prowadzona na zewnątrz, ujęta jako dostawca
Firma z drugą lokalizacją w gminie obok	siedziba i procesy wspólne dla obu miejsc	druga lokalizacja, dopisywana przy kolejnym audycie nadzoru

Zakres wolno zawęzić, ale nie wolno go zawęzić po cichu. Musi być zapisany, uzasadniony i spójny z tym, co mówicie kontrahentom, bo certyfikat obejmujący sam dział handlowy nie jest certyfikatem obejmującym firmę.

Kto pełni te role, gdy nie ma kogo mianować

Norma wymaga, żeby ktoś zatwierdzał kryteria akceptacji ryzyka, ktoś prowadził rejestr, ktoś przeprowadzał audyt wewnętrzny i ktoś przeglądał całość raz w roku. Cztery zadania, nie cztery etaty.

W praktyce pierwsze i ostatnie zostaje przy właścicielu albo prezesie, bo to decyzje biznesowe. Drugie trafia do osoby, która i tak zajmuje się administracją. Trzecie musi wykonać ktoś, kto nie audytuje własnej pracy, więc albo szkolimy do tego osobę z innego działu, albo prowadzimy je my.

Ważny jest wymóg rozdzielności, nie liczba ludzi. Jednoosobowy dział IT audytujący sam siebie jest niezgodnością, którą audytor jednostki znajduje w pierwszej godzinie.

Ile z tego dotyczy serwerów, a ile ludzi i papieru

Firmy, które przychodzą do nas z tym tematem, spodziewają się projektu technicznego. Podział jest inny i zaskakuje niemal zawsze.

Technika to kopie zapasowe, kontrola dostępu, aktualizacje, szyfrowanie nośników, segmentacja sieci i dziennik zdarzeń. Firma, która ma uporządkowane IT, w tej części ma niewiele do zrobienia.

Reszta dotyczy ludzi i papieru: co się dzieje pierwszego i ostatniego dnia pracy pracownika, kto podpisuje zobowiązanie do poufności, jak wygląda wydawanie kluczy, gdzie leżą wydruki po siedemnastej, kto wpuszcza serwisanta i czy ktokolwiek to odnotowuje. Właśnie tu powstaje większość niezgodności i właśnie ta część jest najtańsza do naprawienia.

W jakiej kolejności to robić, żeby nie przepłacić

Kolejność ma wpływ na rachunek, bo praca doradcza kosztuje więcej niż uporządkowanie techniki.

Zaczynamy od pytania, kto tego od Was oczekuje i po co. Gdy powodem jest umowa albo postępowanie z terminem, planujemy wstecz od tego terminu. Gdy powodem jest chęć realnego podniesienia bezpieczeństwa, często kierujemy najpierw na audyt IT w Gorzowie, bo kopie, dostępy i sieć doprowadzone do porządku kosztują mniej niż to samo robione w środku projektu normatywnego.

Dopiero potem wchodzi audyt zerowy, a po nim decyzja o zakresie i harmonogramie. Firma, która odwraca tę kolejność, płaci konsultantowi za czynności, które zrobiłby jej własny informatyk.

Kiedy mówimy, że norma nie jest Wam potrzebna

Gdy nikt jej od Was nie wymaga, a chodzi o poczucie bezpieczeństwa. Gdy jedynym celem jest logo na stronie. Gdy w firmie trwa reorganizacja i za pół roku nie będzie wiadomo, kto za co odpowiada, bo system opisujący nieistniejącą strukturę trzeba będzie napisać drugi raz.

W takich sytuacjach proponujemy węższą pracę: uporządkowanie zabezpieczeń i krótką dokumentację bez ścieżki certyfikacyjnej. Wraca się do tematu wtedy, gdy pojawia się konkretny powód.

Zakres samego badania opisuje audyt zgodności z ISO 27001, całą drogę do certyfikatu wdrożenie i certyfikacja, zestaw dokumentów dokumentacja systemu, a relację z przepisami ISO 27001 a NIS 2. Ogólnopolskie omówienie normy zostało przy ISO 27001.

Treść sprawdzona i zaktualizowana: 31 lipca 2026