ISO 27001 Rzeszów, dane powierzone

Co w zakładzie obróbczym jest informacją wartą ochrony?

Rzadko to, co pierwsze przychodzi do głowy. Kadry, księgowość i poczta są oczywiste i zwykle jako tako zabezpieczone. Najcenniejsze bywa co innego, czyli modele i specyfikacje przysłane przez odbiorcę, opisy procesów wypracowane przez Waszych technologów, parametry obróbki dla trudnych materiałów, raporty pomiarowe i wyniki prób oraz sama wiedza o tym, dla kogo i co produkujecie. Kilka z tych rzeczy nie należy do Was, a mimo to odpowiadacie za nie tak samo jak za własne.

Norma nazywa te elementy aktywami informacyjnymi i wymaga, żeby każde miało właściciela, czyli osobę decydującą, kto ma do niego dostęp. To jest pierwsza zmiana, jaką wprowadza w zakładzie, bo w praktyce dostęp do katalogu z dokumentacją ma zwykle każdy, kto ma dostęp do serwera, a decyzje o tym nikt nigdy świadomie nie podjął.

Rodzaj informacji	Czyja jest	Co się dzieje przy wycieku
Modele i specyfikacje odbiorcy	odbiorcy	naruszenie umowy o poufności, ryzyko utraty kontraktu
Programy obróbcze i parametry procesu	Wasza	konkurent skraca dystans bez własnych prób
Raporty pomiarowe i wyniki prób	wspólna	podważona wiarygodność dowodów jakości
Wyceny i kalkulacje	Wasza	przegrane postępowanie u tego samego odbiorcy
Lista odbiorców i wielkości zamówień	Wasza	informacja handlowa u konkurencji
Dane osobowe załogi	pracowników	obowiązki wobec organu i wobec ludzi
Dokumentacja infrastruktury	Wasza	gotowa mapa dla kogoś, kto chce wejść do sieci

Dlaczego największym ryzykiem nie jest utrata danych?

Bo utrata jest odwracalna, a ujawnienie nie. Zakład, który straci serwer, wraca do pracy z kopii i traci dzień albo dwa. Zakład, którego dokumentacja powierzona przez odbiorcę trafi tam, gdzie nie powinna, traci zaufanie strony, która to zauważy jako pierwsza, i zwykle nie ma jak tego cofnąć. W łańcuchu dostaw przemysłu precyzyjnego jest to ryzyko realne, bo ci sami ludzie i te same firmy pracują często dla kilku konkurujących ze sobą odbiorców.

Dlatego w takich zakładach norma przesuwa punkt ciężkości. Kopie i ciągłość działania są ważne, ale to obszar, w którym większość firm ma już coś zrobione. Najwięcej pracy wychodzi przy poufności: rozdzieleniu dostępu między programami, zasadach wynoszenia plików, kontroli nad tym, co widzi podwykonawca wpuszczony na halę, i śladzie, po którym da się odtworzyć, kto sięgał po dokumentację. Trzecim filarem jest integralność, czyli pewność, że plik nie zmienił się po drodze, i to ona zwykle najbardziej interesuje audytora ze strony odbiorcy.

Co dokładnie deklarujecie, mówiąc o zgodności z normą?

Dwie rzeczy. Pierwsza to spełnienie wymagań opisanych w części głównej normy, czyli kontekstu organizacji, zaangażowania kierownictwa, celów, oceny ryzyka, zasobów, kompetencji, komunikacji, dokumentacji, audytów wewnętrznych, przeglądu zarządzania oraz działań korygujących. Ta część nie podlega wyborowi. Firma, która nie robi przeglądu zarządzania, nie jest zgodna, choćby miała najlepiej zabezpieczoną sieć w województwie.

Druga to zabezpieczenia z załącznika do normy. Tu wybór istnieje, ale nie jest dowolny: dla każdego zabezpieczenia trzeba powiedzieć, czy je stosujecie, a jeśli nie, to dlaczego. Zapisuje się to w dokumencie, który przy badaniu ogląda się jako jeden z pierwszych. Wyłączenie zabezpieczenia dlatego, że jest niewygodne, nie przechodzi. Wyłączenie go dlatego, że firma nie prowadzi działalności, której ono dotyczy, przechodzi bez dyskusji.

Od czego zacząć, gdy w ankiecie pojawia się pytanie o normę?

Od ustalenia, czego naprawdę dotyczy pytanie, bo od tego zależy koszt. Trzy najczęstsze warianty wyglądają podobnie, a różnią się o rząd wielkości. Pytanie o posiadanie certyfikatu wymaga projektu z udziałem jednostki. Pytanie o zgodność z normą można zamknąć wdrożeniem bez certyfikacji. Pytanie o konkretne zabezpieczenia, na przykład o kopie z testem odtworzenia, drugi składnik logowania i rozdzielenie sieci, zamyka się pracą techniczną w kilka tygodni.

Drugim krokiem jest audyt zerowy, czyli zmierzenie dystansu. Bez niego harmonogram i budżet są zgadywaniem, a przy tej normie zgadywanie kończy się zwykle projektem dłuższym o kilka miesięcy niż zakładano. Zakres i cenę takiego badania opisuje audyt zgodności z ISO 27001, całą drogę do certyfikatu wdrożenie, a to, co wchodzi w komplet dokumentów, dokumentacja ISO 27001.

Kiedy mówimy, że to nie jest Wasz problem?

Gdy nikt tego od Was nie wymaga, a pieniądze przeznaczone na projekt załatwiłyby więcej wydane wprost na bezpieczeństwo. Firmie bez wymagania w umowie i bez perspektywy takiego wymagania radzimy zacząć od kopii odpornych na skasowanie, rozdzielenia sieci maszynowej od biurowej, drugiego składnika przy dostępie zdalnym i uporządkowania kont. To jest praca na kilka tygodni, która realnie obniża ryzyko, i którą i tak trzeba wykonać, gdyby wymaganie kiedyś przyszło.

Mówimy tak też firmie, która chce certyfikatu na wczoraj, bo termin w postępowaniu mija za miesiąc. Nie da się tego zrobić uczciwie w takim czasie, a papier zdobyty na skróty przewraca się przy pierwszym badaniu nadzoru. Wtedy lepszą odpowiedzią dla odbiorcy jest raport z audytu razem z planem prac i terminem. Rozmowę o zakresie umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026