Wdrożenie ISO 27001 Warszawa

Projekt w firmie, która pracuje na cudzym terenie

Warszawska spółka doradcza, wdrożeniowa albo projektowa ma zwykle biuro, do którego przychodzi się na spotkania, i realną pracę wykonywaną gdzie indziej. Konsultant spędza dwa dni u zamawiającego, jeden w domu, dwa w biurze, a jego laptop przez cały tydzień wozi dokumenty trzech różnych klientów.

Wdrożenie napisane pod jedno biuro rozsypuje się tu przy pierwszym pytaniu o zabezpieczenia fizyczne. Nie dlatego, że firma jest niezabezpieczona, tylko dlatego, że dokumenty opisują pomieszczenie, w którym praca prawie się nie odbywa.

Miejsce wykonywania pracy	Co obejmuje system	Czym to udowadniamy
Biuro własne	wejście, sale spotkań, szafa, zasada czystego biurka	rejestr gości i wynik przeglądu stanowisk
Praca z domu	urządzenie, sieć, przechowywanie dokumentów	konfiguracja stacji i potwierdzone zasady
Siedziba klienta	sprzęt zabrany na miejsce, dostęp do jego systemów	zgłoszenie dostępu i jego zamknięcie
Sprzęt w drodze	szyfrowanie, blokada, zdalne czyszczenie	raport stanu urządzeń z konsoli
Środowisko u dostawcy chmury	konta, uprawnienia, rejestrowanie zdarzeń	eksport uprawnień i zapisy logowań
Kontraktor na własnym sprzęcie	wymagania w umowie i zakres dostępu	podpisane zobowiązanie i lista dostępów
Archiwum papierowe	przechowywanie, wydanie, zniszczenie	protokoły i ewidencja wydań

Wiersz trzeci jest tym, którego najczęściej brakuje w dokumentacji pisanej bez znajomości takiej firmy. Praca w siedzibie zamawiającego bywa traktowana jak sprawa klienta, a norma pyta o nią Was, bo to Wasi ludzie i Wasze informacje.

Od czego zaczynamy i dlaczego akurat od tego

Od audytu zerowego, żeby harmonogram i budżet brały się z liczb, a nie z założeń. Potem od jednej decyzji, która przesądza o koszcie całości: co obejmuje zakres systemu. W firmie usługowej granicą jest przedmiot umów z klientami razem z ludźmi, danymi i środowiskami potrzebnymi do ich wykonania.

Zawężenie do jednej linii usług jest w pełni zgodne z normą i potrafi zmienić budżet o połowę. Warunek jest jeden: granica musi dać się obronić zdaniem i utrzymać w praktyce, także wtedy, gdy ten sam konsultant pracuje po obu jej stronach w ciągu jednego dnia.

Skąd biorą się dowody, gdy praca dzieje się u klienta

Z tych samych narzędzi, w których prowadzicie zlecenia. Zgłoszenie o nadanie dostępu do systemu zamawiającego, akceptacja przekazania materiału, zamknięcie projektu z odnotowanym zwrotem danych, potwierdzenie odbioru sprzętu. Wystarczy ustalić, które z tych śladów są dowodem, i zadbać, żeby powstawały za każdym razem, a nie przy co drugim zleceniu.

Alternatywa, czyli osobna ewidencja prowadzona wyłącznie na potrzeby normy, jest tym, co uśmierca systemy w drugim roku. Konsultant rozliczany z godzin nie wypełni drugiego formularza opisującego czynność, którą już gdzieś odnotował.

Co przy takim zakresie zajmuje najwięcej czasu

Trzy rzeczy, w tej kolejności.

Uporządkowanie dostępów do środowisk klientów. Zwykle są nadane historycznie, część po zakończonych projektach, a odebranie ich wymaga rozmowy z drugą stroną, która ma własne tempo.

Zasady dla sprzętu wywożonego poza biuro. Techniczna część jest szybka, trudniejsze jest ustalenie, co wolno przechowywać lokalnie, a co musi zostawać w systemie, bo dotyka to sposobu pracy konsultantów.

Umowy z podwykonawcami. Firmy usługowe pracują z osobami współpracującymi krótkoterminowo, a wymagania bezpieczeństwa trzeba przenieść do umów, nie do regulaminu pracy, i umieć pokazać, że ktoś ich przestrzegania pilnuje.

Jak układamy harmonogram pod termin z umowy

Od tyłu, od daty, którą wskazał kontrahent. Odejmujemy czas badania jednostki w dwóch etapach, wcześniej audyt wewnętrzny z domknięciem uwag, a przed nim okres, w którym system musi pracować, żeby powstały zapisy. Dopiero to, co zostaje, jest miejscem na warsztaty i dokumentację.

Jeżeli po takim rachunku data okazuje się nierealna, mówimy o tym po audycie zerowym, nie przed. Wtedy przygotowujemy oświadczenie o rozpoczętym wdrożeniu razem z harmonogramem, co w większości postępowań zakupowych wystarcza na czas trwania prac.

Co zostaje po odebraniu dokumentu

System, który wytrzyma rotację. Zasady opisane przez role, a nie przez nazwiska, przeglądy wpięte w kalendarz i osoba wiedząca, co i kiedy trzeba zrobić. Certyfikat obowiązuje trzy lata, ale wizyta nadzoru odbywa się co roku, więc utrzymanie jest częścią decyzji, a nie dodatkiem do niej.

Wymagania normy tłumaczy ISO 27001, punkt wyjścia mierzy audyt zgodności, a zakres samych dokumentów opisuje dokumentacja. Rozmowę o granicach systemu umawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026