Wdrożenie ISO 27001 Olsztyn

Jak układamy harmonogram pod kalendarz obiektu

Odwrotnie, niż wygląda to w podręczniku. Zamiast liczyć miesiące od podpisania umowy, zaczynamy od pytania, kiedy w Waszej firmie da się w ogóle zebrać ludzi na trzy godziny. W obiekcie z ruchem gości odpowiedź brzmi zwykle od października do marca, więc na ten czas planujemy audyt zerowy, warsztaty z oceny ryzyka i pisanie dokumentów.

System uruchamiamy przed otwarciem, żeby pracował przez pełny sezon. Wtedy powstają zapisy, o które pyta audytor, i powstają same, bo dotyczą rzeczy dziejących się codziennie. Badanie jednostki umawiamy po zamknięciu szczytu. Całość mieści się w typowych czterech do ośmiu miesiącach, tylko rozłożonych tak, żeby żaden etap nie wypadł w tygodniu, w którym obiekt jest pełny.

Co dzieje się w którym miesiącu

Rozkład poniżej dotyczy firmy pracującej sezonowo i zaczynającej jesienią. W zakładzie pracującym równo przez cały rok te same etapy układa się swobodnie, bo nie ma miesięcy wykluczonych.

Okres	Etap	Kto pracuje najwięcej
Październik	audyt zerowy i harmonogram	my, z jedną osobą u Was
Listopad i grudzień	ocena ryzyka na warsztatach	Wasz zespół, my prowadzimy
Styczeń i luty	dokumentacja i instrukcje	my, z konsultacjami co tydzień
Marzec i kwiecień	wdrożenie zabezpieczeń	my, po stronie technicznej
Maj	uruchomienie systemu i szkolenie obsady	Wasze kierownictwo
Czerwiec do sierpnia	działanie systemu i zbieranie dowodów	firma, my tylko przeglądamy
Wrzesień	audyt wewnętrzny i usunięcie uwag	my, z dostępem do zapisów
Październik	badanie jednostki, dwa etapy	jednostka, my jesteśmy obecni

Etapy częściowo się nakładają, więc suma wierszy nie jest długością projektu. Sam czas nie podnosi ceny, bo płacicie za pracę, a nie za miesiące w kalendarzu. Rachunek rośnie wtedy, gdy rośnie zakres, czyli liczba obiektów, procesów i brakujących zabezpieczeń.

Co robimy łączem, a czego się tak nie da

Łączem idzie większość i jest to zwykły podział pracy, a nie kompromis. Dokumentacja, przeglądy zapisów, ustawienia kopii, uprawnienia, konfiguracja poczty i konsultacje cotygodniowe nie wymagają niczyjej obecności w tym samym pokoju.

Trzy rzeczy dzieją się w obiekcie i stoją w harmonogramie od pierwszego dnia projektu, obok pozostałych etapów. Ocena ryzyka prowadzona w formie warsztatu działa przy stole, a nie przez ekran, bo połowa wartości tego spotkania bierze się z rozmowy między Waszymi ludźmi. Audyt zerowy wymaga obejścia obiektu, łącznie z pomieszczeniami technicznymi i budynkami po drugiej stronie działki. Audyt wewnętrzny wymaga rozmów z ludźmi na stanowiskach, bo pytanie o to, co ktoś robi przy zgłoszeniu, zadaje się osobiście.

Co potrafi przesunąć ten projekt o cały rok

Jedna rzecz, czyli spóźnienie się z uruchomieniem systemu za maj. Jeśli zabezpieczenia i dokumentacja nie są gotowe przed otwarciem, sezon mija bez zapisów, a wtedy dowody trzeba zbierać przez kolejne miesiące, w których obiekt prawie nie pracuje. Audytor patrzy na rejestr zgłoszeń z listopada i grudnia i widzi system, który obsłużył trzy sprawy.

Druga przyczyna jest łagodniejsza i dotyczy decyzji o zakresie. Firma, która przez trzy miesiące nie rozstrzygnie, czy systemem obejmuje jeden obiekt, czy całą spółkę, traci te trzy miesiące w całości, bo od tej decyzji zależy każdy kolejny dokument. Dlatego wymuszamy ją na pierwszym warsztacie i zapisujemy.

Co zostaje po odebraniu certyfikatu

System, który da się utrzymać rękami jednej osoby, czyli dokumentacja, rejestr ryzyk, kalendarz przeglądów i obsada, która wie, co robić przy zgłoszeniu. Certyfikat jest ważny trzy lata, a badania nadzoru odbywają się co roku, więc utrzymanie jest częścią decyzji, a nie dodatkiem do niej. Warto policzyć te trzy lata z góry, zanim ktokolwiek podpisze pierwszą umowę.

Zakres samych dokumentów opisuje dokumentacja ISO 27001, wymagania normy ISO 27001, a stan wyjściowy audyt zgodności.

Komu radzimy wydać te pieniądze inaczej

Firmie, od której nikt certyfikatu nie wymaga, a której chodzi o realne bezpieczeństwo. Te same pieniądze wydane na kopie odporne na skasowanie, rozdzielenie sieci, kontrolę dostępu i monitoring dają wtedy więcej niż papier w ramce. Pierwszym krokiem jest wówczas audyt IT, a rozmowę o zakresie umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026