ISO 27001 Łódź, cudze dane w Waszym magazynie

Skąd bierze się to pytanie w firmie obsługującej zamówienia

Prawie zawsze z umowy. Marka, która powierza magazynowanie i wysyłkę, porządkuje w pewnym momencie wymagania wobec swoich wykonawców i wpisuje do nich normę bezpieczeństwa informacji. Kilka tygodni później trafia to do Was jako jeden wiersz w załączniku, bez wyjaśnienia, czego dokładnie ma dotyczyć.

Pierwsza reakcja bywa taka sama w każdej firmie: próba oszacowania, ile kosztowałoby objęcie ochroną wszystkiego, co robicie. Norma nie wymaga jednak niczego takiego. Wymaga, żebyście sami ustalili granicę i potrafili ją uzasadnić, a w firmie pracującej na cudzych informacjach ustalenie to zaczyna się od pytania, co właściwie jest tutaj przedmiotem ochrony.

Co jest czyje i co z tego wynika

Informacja	Skąd trafia do firmy	Czyja jest w praktyce	Co z tego wynika dla zakresu
Dane kupujących	z zamówienia w sklepie zleceniodawcy	należy do jego relacji z klientem	wchodzi, bo przechodzi przez Wasze systemy i ręce
Stany i rotacja towaru	z Waszego systemu magazynowego	wspólna, powstaje po Waszej stronie	wchodzi, bo ujawnia skalę sprzedaży marki
Ceny zakupu i marże	z dokumentów przyjęcia	należy do zleceniodawcy	wchodzi zawsze, to jego najczulsza pozycja
Prognoza wysyłek	z planów handlowych marki	należy do zleceniodawcy	wchodzi, bo zdradza plany na kolejny kwartał
Wasza baza kontrahentów	z własnej sprzedaży usług	należy do Was	wchodzi, choć nikt z zewnątrz o nią nie pyta
Dane załogi i obsady czasowej	z kadr i od agencji	należy do Was jako pracodawcy	wchodzi, bo dotyczy tych samych systemów
Dostępy do systemów marki	otrzymane razem z umową	należą do zleceniodawcy	wchodzą, i to jako pozycja o wysokiej wadze
Konfiguracja Waszego magazynu	powstaje przy wdrożeniu	należy do Was	wchodzi, bo jej ujawnienie ułatwia atak

Wiersz siódmy bywa pomijany, a przy badaniu wraca jako pierwszy. Konta nadane Wam w systemach zleceniodawcy pozwalają sięgnąć do jego środowiska, więc każda niedomknięta sprawa po Waszej stronie staje się jego problemem, i on doskonale o tym wie.

Dwa rodzaje wymagań i granica między nimi

Pierwszy rodzaj to rozdziały od czwartego do dziesiątego, czyli sam sposób zarządzania: kontekst, przywództwo, planowanie, wsparcie, działanie, ocena wyników i doskonalenie. Obowiązują w całości niezależnie od tego, jak wąsko wyznaczycie granicę i ilu ludzi zatrudniacie w szczycie.

Drugi stoi w załączniku A, będącym katalogiem środków, a nie listą poleceń. Wybieracie z niego to, co wynika z oceny ryzyka, a każde pominięcie opisujecie powodem w deklaracji stosowania. W firmie prowadzącej magazyn ten wybór przesuwa się wyraźnie w stronę dostępu fizycznego i nadzoru nad dostawcami, a wyraźnie odchodzi od zagadnień związanych z wytwarzaniem oprogramowania.

Co w takiej firmie bywa już zrobione

Więcej, niż zakłada zarząd przy pierwszej rozmowie, ponieważ część wymagań wymusili wcześniej sami zleceniodawcy. Umowy o zachowaniu poufności są podpisane, bo marki tego wymagają. Dostęp do hali jest kontrolowany, bo leży w niej cudzy towar. Kopie systemu magazynowego działają, bo bez nich wysyłka zatrzymałaby się tego samego dnia.

Brakuje zwykle trzech rzeczy naraz i wszystkie trzy są tanie. Nazwania tego zasadą, wskazania osoby odpowiedzialnej oraz ustalenia rytmu. Czynność wykonywana od lat nie jest dowodem, dopóki nie wiadomo, kto ma ją wykonywać i jak często, a to jest dobra wiadomość, bo skraca projekt o kilka tygodni.

Czego norma wymaga poza informatyką

Trzech obszarów, które w magazynie sprawiają najwięcej pracy i pojawiają się w rozmowie najpóźniej.

Pierwszy to ludzie, w tym obsada przyjmowana na sezon. Kto przekazuje zasady osobie pracującej sześć tygodni, kto nadaje jej dostęp i kto zamyka go w ostatnim dniu.

Drugi to dostawcy, a jest ich tutaj wyjątkowo wielu: agencje pracy, przewoźnicy, serwis wózków, firma sprzątająca i integratorzy podpięci do systemu. Norma pyta o wymagania stawiane im w umowach i o dowód, że ktoś ich przestrzegania pilnuje.

Trzeci to sam budynek. Rampa, brama, ruch kierowców i strefa wydań są miejscami, w których obcy człowiek znajduje się najbliżej Waszych informacji, a zasady wpuszczania bywają jedyną rzeczą, która go tam zatrzymuje.

Od czego zacząć i kiedy odradzamy

Od dwóch pytań: kto tego od Was oczekuje i do kiedy. Mając nazwę zleceniodawcy i termin, zaczynamy od audytu zerowego, a harmonogram liczymy wstecz od tej daty.

Jeżeli chodzi o realne bezpieczeństwo, a nie o wymóg z umowy, tańszym pierwszym krokiem bywa audyt IT, czyli uporządkowanie kopii, uprawnień i podziału sieci między halą a biurem. Odradzamy natomiast wtedy, gdy powodem jest jedno pytanie w jednej ankiecie, bo odpowiada na nie badanie zgodności za ułamek kosztu całego projektu. Warto, gdy wymaganie wraca w kolejnych umowach albo gdy dochodzą obowiązki sektorowe, które porządkuje zestawienie normy z NIS 2. Cały projekt, od pierwszego warsztatu po badanie jednostki, prowadzi wdrożenie, a komplet polityk powstaje przy dokumentacji.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026