ISO 27001 Katowice, granice systemu

Kiedy w metropolii pojawia się to pytanie

Prawie zawsze przy okazji kontraktu. Duży zakład, spółka energetyczna albo dostawca pierwszego rzędu porządkuje wymagania wobec swoich dostawców i wpisuje do nich normę bezpieczeństwa informacji. Kilka tygodni później pytanie trafia do Was, zwykle w formie jednego wiersza w ankiecie i bez żadnego wyjaśnienia, co dokładnie ma być objęte.

Reakcją bywa próba oszacowania kosztu objęcia całej firmy, po której temat zamiera na kwartał. Tymczasem norma nie wymaga niczego takiego. Wymaga, żebyście sami wyznaczyli granicę i potrafili ją uzasadnić, a przy firmie rozłożonej na kilka adresów to właśnie ta decyzja rozstrzyga o budżecie mocniej niż wszystkie pozostałe razem wzięte.

Co granica systemu oznacza przy kilku adresach

Wariant zakresu	Co obejmuje	Co zostaje poza	Kiedy taka granica się broni
Proces obsługi jednego odbiorcy	ludzie, dane i systemy potrzebne do jego zleceń	pozostała działalność firmy	gdy pytanie przyszło od tego jednego odbiorcy
Jeden budynek produkcyjny	wszystko, co dzieje się w hali i przy niej	biuro handlowe i magazyn	gdy chroniona dokumentacja nie opuszcza hali
Hala razem z biurem	produkcja, technolodzy, handel i kadry	magazyn bez dostępu do systemów	gdy zamówienia i rysunki krążą między tymi dwoma miejscami
Wszystkie obiekty firmy	każdy adres i każdy proces	nic	gdy odbiorców z wymaganiami jest kilku i każdy inny
Jedna spółka z grupy	podmiot wskazany w umowie	spółki siostrzane	gdy każda spółka ma własne kontrakty i własne systemy
Usługa wykonywana zdalnie	ludzie i środowiska, bez wskazania budynku	miejsca, w których ta usługa nie powstaje	gdy praca faktycznie nie jest przypisana do adresu
Cały łańcuch od zamówienia do wysyłki	biuro, hala, magazyn i przewoźnik	działalność poza tym łańcuchem	gdy odbiorca pyta również o etap dostawy

Wiersz drugi bywa kuszący i najczęściej upada przy pierwszym pytaniu. Rysunek przysłany przez odbiorcę przechodzi zwykle przez skrzynkę handlowca w biurze, zanim trafi do technologa w hali, więc granica postawiona na murze hali przecina drogę chronionej informacji w połowie.

Dwa rodzaje wymagań i to, czego zawęzić się nie da

Pierwszy rodzaj to rozdziały od czwartego do dziesiątego, czyli sam sposób zarządzania: kontekst, przywództwo, planowanie, wsparcie, działanie, ocena wyników i doskonalenie. Obowiązują w całości niezależnie od tego, jak wąską granicę wybraliście, i niezależnie od tego, czy zatrudniacie dwadzieścia osób, czy dwieście.

Drugi rodzaj stoi w załączniku A, który jest katalogiem środków, a nie listą poleceń. Wybieracie z niego to, co wynika z Waszej oceny ryzyka, a każde pominięcie opisujecie powodem w deklaracji stosowania. Przy kilku obiektach ten wybór zmienia się w jednym miejscu: środki fizyczne trzeba rozpisać osobno dla każdego budynku, bo strefy, klucze i zasady wpuszczania ludzi z zewnątrz wyglądają w hali inaczej niż w wynajmowanym biurze.

Co granica zmienia w codziennej pracy

Trzy rzeczy, wszystkie widoczne od pierwszego miesiąca.

Pierwsza to liczba osób objętych szkoleniami i zasadami. Zakres obejmujący jeden proces oznacza kilkanaście osób zamiast całej załogi, a dowody rosną wtedy szybciej, bo dotyczą grupy, z którą da się pracować w jednym pomieszczeniu.

Druga to liczba adresów, które zobaczy audytor. Każdy budynek w zakresie to osobny obchód, osobne strefy i osobne zapisy z wejść, a przy badaniu jednostki także osobny czas w kalendarzu i w wycenie.

Trzecia to sposób opisania przejścia przez granicę. Jeżeli dane wychodzą poza zakres, na przykład jadą do magazynu na etykiecie albo do biura rachunkowego, trzeba to nazwać i opisać zasady, na jakich się to odbywa. To jest praca, ale znacznie mniejsza od objęcia systemem trzeciego budynku.

Od czego zacząć

Od dwóch pytań: kto tego od Was oczekuje i do kiedy. Mając nazwę odbiorcy i termin, zaczynamy od audytu zerowego, a harmonogram liczymy wstecz od tej daty. Przy okazji ustalamy granicę, bo bez niej wycena wdrożenia jest zgadywaniem, a rozbieżność między najwęższym a najszerszym wariantem bywa dwukrotna.

Jeżeli chodzi o realne bezpieczeństwo, a nie o wymóg z zewnątrz, tańszym pierwszym krokiem bywa audyt IT, czyli uporządkowanie kopii, uprawnień i podziału sieci między obiektami. Firma, która najpierw nadrobi technikę, wchodzi we wdrożenie z krótszą listą braków.

Kiedy mówimy, że nie warto

Gdy nikt tego od Was nie wymaga, a w środowisku są rzeczy pilniejsze. System zarządzania nie odetnie zdalnego wejścia zostawionego przez serwis maszyny ani nie przeniesie kopii z tej samej szafy, w której stoi serwer. Obie te sprawy załatwia się szybciej i taniej osobno.

Nie warto również wtedy, gdy powodem jest jedno pytanie w jednej ankiecie. Na takie pytanie odpowiada badanie zgodności i kosztuje ułamek pełnego projektu. Warto natomiast, gdy wymaganie wraca w kolejnych kontraktach albo gdy dochodzą do tego obowiązki sektorowe, które porządkuje zestawienie normy z NIS 2. Przez całą drogę prowadzi wdrożenie, a polityki i procedury powstają przy dokumentacji.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026