ISO 27001 Lublin

Czym jest ta norma dla firmy, która połowę pracy wykonuje poza biurem?

Opisem sposobu zarządzania bezpieczeństwem informacji, a nie listą sprzętu do kupienia. Mówi, żebyście ustalili, co chronicie, ocenili ryzyko, dobrali zabezpieczenia i regularnie sprawdzali, czy działają. Nic w niej nie wskazuje konkretnego producenta ani konkretnego ustawienia.

Dlatego dwie lubelskie firmy z tym samym dokumentem na ścianie mogą mieć zupełnie inne zabezpieczenia. Obie muszą jednak umieć wyjaśnić, skąd wziął się ich wybór. Certyfikat potwierdza, że proces istnieje i działa, wydaje go niezależna jednostka po własnym badaniu, a ważność wynosi trzy lata przy corocznych audytach nadzoru.

Kluczowa różnica dla przedsiębiorstwa pracującego w terenie jest taka, że norma nie zatrzymuje się na drzwiach biura. Obejmuje informację tam, gdzie ona faktycznie jest, a w firmie przewozowej albo usługowej znaczna jej część znajduje się poza adresem rejestrowym.

Gdzie w takiej firmie leży informacja do ochrony?

Miejsce	W jakiej postaci	Kto ma do niej dostęp	Czym zwykle jest chroniona
Kabina pojazdu	dokumenty przewozowe i wydruki	kierowca, osoby na załadunku	niczym poza zamkniętymi drzwiami
Telefon pracownika w drodze	poczta, zdjęcia dokumentów	właściciel telefonu i domownicy	blokada ekranu, jeśli została włączona
System pokładowy	odczyty z pojazdu i trasy	dostawca systemu, dyspozytornia	warunkami umowy z dostawcą
Dyspozytornia	zlecenia, dane ładunku, stawki	zmiana dyżurna	wspólnym kontem i hasłem na kartce
Serwer w bazie	archiwa, rozliczenia, kadry	administrator i pół biura	uprawnieniami nadanymi lata temu
Podnajęty wykonawca	zlecenie z danymi klienta	jego pracownicy, nieznani Wam	zapisem w umowie handlowej
Segregatory w biurze	umowy, akta osobowe	kto wejdzie do pokoju	szafą, która bywa otwarta
Poczta na prywatnym komputerze	korespondencja handlowa	osoba pracująca zdalnie	niczym, jeśli nikt tego nie ustalił

To zestawienie robimy na starcie, bo od niego zależy najważniejsza decyzja całego przedsięwzięcia. Granica systemu przesądza o zakresie pracy, o terminie i o kwocie, a przesunięcie jej o jeden proces potrafi zmienić budżet bardziej niż wszystkie zakupy techniczne razem wzięte.

Co w praktyce sprawia największą trudność?

Dowody. System bez zapisów nie istnieje dla audytora. Protokół przeglądu uprawnień, potwierdzenie szkolenia, ślad odebrania dostępu.

Ciągłość. Norma wymaga działania, a nie jednorazowego uruchomienia przed badaniem. Stąd kilkumiesięczny zapas w każdym rozsądnym harmonogramie.

Informacja u wykonawcy. Firma podnajmująca przewoźników albo podwykonawców usług musi umieć powiedzieć, czego od nich wymaga i jak to sprawdza. Sama umowa handlowa zwykle na to nie odpowiada.

Ludzie w ruchu. Szkolenie dla kogoś, kto bywa w bazie raz na dwa tygodnie, wymaga innej formy niż spotkanie w sali. To rozwiązywalne, ale trzeba to zaplanować, zamiast odkrywać na miesiąc przed audytem.

Od czego zacząć, żeby nie przepalić budżetu?

Od odpowiedzi na pytanie, kto tego od Was oczekuje i po co. Jeśli powodem jest zapis w umowie z odbiorcą, zaczynamy od audytu zerowego i układamy harmonogram pod termin z tej umowy. Jeśli powodem jest chęć realnej poprawy bezpieczeństwa, tańszym pierwszym krokiem bywa zwykły audyt IT, bo uporządkowanie kopii, dostępów i sieci daje więcej niż budowa systemu zarządzania.

Kolejność ma znaczenie także dla pieniędzy. Firma, która najpierw nadrobi technikę, wchodzi we wdrożenie z krótszą listą braków, więc płaci za mniej dni doradztwa.

Co dokładnie oddajemy po audycie zerowym?

Trzy rzeczy, i to one są jedynym powodem, dla którego ten krok jest płatny. Pierwsza to propozycja granicy systemu wraz z uzasadnieniem, czyli odpowiedź na pytanie, co obejmujecie, a co świadomie zostawiacie na zewnątrz. Druga to lista braków wobec wymagań obowiązkowych, ustawiona według ciężaru, a nie według kolejności rozdziałów normy. Trzecia to oszacowanie pracy podane w dniach, osobno dla nas i osobno dla Waszych ludzi.

Dopiero komplet tych trzech dokumentów pozwala rozmawiać o terminie i o budżecie na konkretach. Bez niego każda oferta na wdrożenie jest zgadywaniem, a rozbieżność między ofertami bierze się nie z ceny dnia pracy, tylko z tego, że każdy dostawca przyjął inny zakres.

Kiedy mówimy, że nie warto?

Gdy nikt tego od Was nie wymaga, a jedynym powodem jest chęć umieszczenia dokumentu na stronie. Utrzymanie systemu kosztuje co roku, audyty nadzoru odbywają się w cyklu rocznym, a certyfikat bez działającego procesu kończy się kłopotem przy pierwszym z nich.

W takiej sytuacji proponujemy zgodność bez certyfikacji. Szczegóły przebiegu prac opisaliśmy przy wdrożeniu i certyfikacji, a stan wyjściowy mierzy audyt zgodności. Rozmowę umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026