ISO 27001 Kraków, wymagania normy

Dlaczego norma jest tu czwartym zestawem zasad, a nie pierwszym

Firma produkcyjna zaczyna zwykle od zera i pierwszym dokumentem opisującym bezpieczeństwo informacji bywa u niej polityka napisana pod tę normę. W krakowskiej kancelarii i w centrum usług wspólnych sytuacja jest odwrotna, bo zasady już są, tylko pochodzą z trzech różnych źródeł i nikt nigdy nie ustawił ich obok siebie.

Pierwsze źródło to reguły wykonywania zawodu, ostrzejsze od normy w kwestii ujawniania i słabsze w kwestii dowodzenia. Drugie to dokument przysłany przez centralę, opisujący organizację jako całość i zwykle w innym języku. Trzecie to wymagania wpisane do umów przez dużych odbiorców, różniące się między sobą, choć dotyczą tej samej rzeczy.

Norma nie zastępuje żadnego z nich. Dokłada natomiast coś, czego nie ma ani w jednym: obowiązek wykazania, że przyjęte zasady wynikają z oceny ryzyka i że ktoś sprawdza ich skuteczność.

Co norma dokłada do reżimów, które już Was wiążą

Reżim	Skąd pochodzi	Czego wymaga	Co dokłada do niego norma
Tajemnica zawodowa	zasady wykonywania zawodu	zakaz ujawnienia, obowiązek zachowania	dowód, że zabezpieczenie faktycznie działa
Polityka grupy kapitałowej	centrala, jeden dokument dla wszystkich	poziomy wymagań i sprawozdawczość	przełożenie ich na procesy polskiej spółki
Wymagania z umów z odbiorcami	dział zakupów zamawiającego	terminy, dostępy, prawo sprawdzenia	jeden standard zamiast kilku sprzecznych
Przepisy o ochronie danych	obowiązek ustawowy	ochrona danych osobowych	objęcie także informacji nieosobowych
Wewnętrzne procedury operacyjne	potrzeba powtarzalności usługi	sposób wykonania czynności	właściciel, ryzyko i zapis wykonania
Wymagania ubezpieczyciela	ankieta przy zawieraniu polisy	opis stosowanych środków	ciągłość zamiast stanu z dnia ankiety

Kolumna czwarta jest odpowiedzią na najczęstsze pytanie zadawane przy pierwszej rozmowie, czyli po co komu jeszcze jeden system, skoro tyle już jest zapisane. Norma nie dokłada kolejnego zbioru zakazów, tylko spina istniejące w całość, w której da się wskazać właściciela każdej zasady i pokazać dowód jej stosowania.

Które wymagania są nienegocjowalne

Rozdziały od czwartego do dziesiątego. Obejmują kontekst organizacji i przywództwo, planowanie wraz z oceną ryzyka, wsparcie, działanie, ocenę wyników oraz doskonalenie. Nie da się ich pominąć ani zawęzić, niezależnie od tego, jak mała jest firma i jak dobrze opisane ma procesy.

Załącznik A działa inaczej. Wymienia dziewięćdziesiąt trzy środki, z których stosujecie te wynikające z rejestru ryzyk, a rezygnację z każdego innego opisujecie w deklaracji stosowania. To ten dokument rozstrzyga wynik badania częściej niż jakikolwiek inny, ponieważ pokazuje sposób myślenia, a nie stan wyposażenia.

W praktyce oznacza to, że dwie krakowskie firmy z tym samym dokumentem mogą mieć zupełnie inne zabezpieczenia i obie być w porządku, o ile potrafią uzasadnić swoje decyzje.

Czego brakuje, choć praca jest wykonywana

Trzech rzeczy i wszystkie trzy są tanie do uzupełnienia, jeśli wiadomo, że brakują.

Nazwania zasady. Uprawnienia są przeglądane, bo klient tego oczekuje, tylko nigdzie nie zapisano, jak często i przez kogo, więc dla badania nie istnieje proces, a jedynie zwyczaj.

Właściciela ryzyka. Decyzja o zaakceptowaniu jakiegoś stanu bywa podejmowana kolegialnie i nie zostaje po niej ślad, przez co nie da się wskazać osoby, która ją podjęła, a norma wymaga właśnie tego.

Rytmu. Przeglądy odbywają się przy okazji, zwykle przed wizytą klienta albo po zdarzeniu, i tworzą serię zapisów o nieregularnych datach. Dla badającego jest to sygnał, że system reaguje, ale nie działa.

Gdzie w takiej firmie leży najwięcej pracy

Nie w konfiguracji systemów, tylko w trzech obszarach związanych z ludźmi i z drugą stroną umowy.

Pierwszy to osoby współpracujące krótkoterminowo: aplikanci, konsultanci, zespoły projektowe wchodzące na jeden proces. Norma pyta o to samo co przy etacie, czyli o zobowiązanie, przekazanie zasad, nadanie i odebranie dostępu, tylko cykl jest kilkakrotnie krótszy.

Drugi to dostawcy i narzędzia. Firma kupująca kilkanaście usług abonamentowych zwykle nie ma ich wykazu, a wykaz jest wymaganiem samym w sobie, zanim jeszcze dojdzie do oceny któregokolwiek z nich.

Trzeci to dokumenty poza systemem. Wydruk zabrany na spotkanie, kopia robocza na dysku lokalnym, załącznik w skrzynce osoby prowadzącej sprawę. Wszystkie trzy są w zakresie normy i wszystkie trzy bywają pomijane w pierwszym podejściu, bo nie kojarzą się z informatyką.

Pierwszy krok i sytuacja, w której go odradzamy

Zaczynamy od dwóch pytań: kto tego od Was oczekuje i do kiedy. Jeżeli wskazujecie umowę i kwartał, robimy audyt zerowy i liczymy harmonogram wstecz od tej daty. Jeżeli chodzi o realne bezpieczeństwo bez zewnętrznego wymogu, tańszym początkiem bywa audyt IT, ponieważ uporządkowanie kopii, uprawnień i podziału sieci daje wtedy więcej za mniejsze pieniądze.

Odradzamy wtedy, gdy jedynym powodem jest chęć umieszczenia znaku na stronie, a firma nie zamierza utrzymywać systemu przez kolejne lata. Wizyta nadzoru odbywa się co roku i dokument, którego nie ma za co utrzymać, wygasa razem z pieniędzmi już wydanymi.

Odległość do zgodności mierzy audyt zgodności, przez cały projekt prowadzi wdrożenie, komplet dokumentów powstaje przy dokumentacji, a zestawienie z obowiązkami z dyrektywy daje ISO 27001 a NIS 2. Pierwszą rozmowę umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026