Wdrożenie i certyfikacja ISO 27001 Zielona Góra

Ten sam projekt w dwóch różnych firmach

Wdrożenie systemu zarządzania bezpieczeństwem informacji trwa u firmy do pięćdziesięciu osób od czterech do ośmiu miesięcy i przez ten czas dzieje się w rytmie narzuconym przez sposób pracy organizacji. W okolicy Zielonej Góry mamy do czynienia głównie z dwoma takimi rytmami i różnice między nimi widać w każdym etapie.

Etap	Zakład produkcyjny	Spółka sprzedająca oprogramowanie
Ustalenie granic systemu	linia, magazyn i dokumentacja jednego zleceniodawcy	produkt, repozytoria i środowiska, w których powstaje
Ocena ryzyka	przestój, utrata dokumentacji konstrukcyjnej, dostęp serwisanta	wyciek kodu, dostęp do danych klienta, awaria dostawcy chmury
Dokumentacja	strefy, klucze, wydawanie przepustek, praca dostawców	zarządzanie zmianą, przeglądy kodu, rozdzielenie środowisk
Zabezpieczenia	oddzielenie sieci sterowania od biurowej, kopie odporne na skasowanie	konta firmowe zamiast prywatnych, drugi składnik, rejestrowanie dostępu
Szkolenia	krótkie, przy zmianach, powtarzane dla każdej brygady	jedno spotkanie zespołu i osobne dla osób z dostępem produkcyjnym
Zbieranie dowodów	zapisy z wydawania kluczy, przeglądy uprawnień, protokoły prób	historia zmian, przeglądy dostępu do repozytoriów, rejestr zgłoszeń
Audyt jednostki	rozmowy na hali, obchód, przegląd zapisów	rozmowy z zespołem, pokaz procesu wydania wersji

Kolumna druga i trzecia opisują tę samą normę. To, co się zmienia, to miejsce, w którym leży najwięcej pracy, a razem z nim rozkład kosztu w projekcie.

Co naprawdę decyduje o cenie

Nie kalendarz. Płacicie za pracę, a nie za liczbę miesięcy, więc projekt rozciągnięty przez urlopy nie kosztuje więcej. Kwota rośnie z trzech powodów i warto znać je przed podpisaniem.

Pierwszy to szerokość zakresu. Objęcie całej firmy zamiast jednego procesu potrafi zmienić budżet o połowę i bardzo często nie jest wymagane przez nikogo poza wyobrażeniem o tym, jak norma powinna wyglądać. Drugi to liczba braków technicznych: firma z działającymi kopiami, kontrolą dostępu i uporządkowaną siecią potrzebuje głównie procesu i opisu. Trzeci to liczba lokalizacji, bo każda z nich oznacza osobne strefy, osobne zapisy i osobny fragment badania.

Jeśli po stanie wyjściowym widać, że najwięcej brakuje w technice, mówimy o tym wprost i proponujemy zacząć od audytu IT w Zielonej Górze. Nadrabianie podstaw w środku projektu wdrożeniowego jest droższe niż zrobienie tego wcześniej, choć dla nas oznacza mniejsze zlecenie na starcie.

Kto po Waszej stronie musi mieć na to czas

Projekt potrzebuje jednej osoby z mandatem do decyzji. Nie chodzi o wiedzę o normie, bo tę wnosimy my, tylko o możliwość rozstrzygnięcia, czy dana rzecz wchodzi w zakres, kto ją przejmuje i kiedy. Wdrożenia, które się rozjeżdżają, prawie nigdy nie rozjeżdżają się z powodu tempa pracy doradcy. Rozjeżdżają się na pytaniach czekających tygodniami na czyjąś zgodę.

Druga rzecz to zaangażowanie zarządu, wymagane przez normę wprost. W praktyce oznacza kilka godzin w roku: zatwierdzenie kryteriów ryzyka, przegląd zarządzania i decyzję o zakresie. Nie da się tego przekazać niżej, bo audytor pyta o to osobno i sprawdza, czy podpisy mają pokrycie w rozmowie.

Czego nie da się kupić za żadną kwotę

Czasu działania systemu. Norma wymaga, żeby procesy działały, a nie żeby zadziałały raz przed badaniem. Jednostka prosi o rejestr zgłoszeń, ślady przeglądu uprawnień i protokoły, a potem patrzy na ich daty. Dlatego harmonogram układamy od końca: ustalamy, kiedy chcecie mieć certyfikat, odejmujemy czas badania jednostki, czas potrzebny na zebranie dowodów i czas wdrożenia. Gdy z tego rachunku wychodzi termin niemożliwy, mówimy to na pierwszym spotkaniu.

Z czego składa się rachunek za całość

Nasza faktura to jedna pozycja z czterech. Druga to opłata jednostki certyfikującej, liczona od liczby osób i lokalizacji, płacona bezpośrednio jej. Trzecia to brakujące zabezpieczenia, których wielkość wynika z badania stanu wyjściowego. Czwarta to czas Waszych ludzi, którego nikt nie fakturuje, a który realnie istnieje.

Piątą pozycją, pomijaną w większości ofert, jest utrzymanie. Certyfikat jest ważny trzy lata, ale badania nadzoru odbywają się co roku, więc warto policzyć cały ten okres przed decyzją. Certyfikat, na którego utrzymanie zabrakło budżetu, wygasa razem z pieniędzmi już wydanymi.

Kiedy mówimy, żeby się nie certyfikować

Gdy nikt tego od Was nie wymaga, a chodzi o realne podniesienie bezpieczeństwa. Te same pieniądze wydane na kopie odporne na skasowanie, rozdzielenie sieci i kontrolę dostępu dadzą więcej niż dokument w ramce. Mówimy to, choć kosztuje nas większe zlecenie, ponieważ nie chcemy wracać za trzy lata do firmy, która straciła certyfikat przy pierwszym badaniu nadzoru.

Skalę pracy na starcie pokazuje badanie zgodności z normą, a zakres samych dokumentów opisuje dokumentacja ISO 27001.

Treść sprawdzona i zaktualizowana: 31 lipca 2026