ISO 27001 Zielona Góra

Co dokładnie kupujecie razem z tą normą

Sposób pracy, a nie zestaw ustawień. Norma nie wskazuje ani jednego producenta i nie mówi, jaki sprzęt macie mieć. Mówi, że macie wiedzieć, co chronicie, oszacować, co może się z tym stać, dobrać do tego środki, sprawdzać ich skuteczność i poprawiać to, co nie działa. Reszta należy do Was.

Stąd bierze się rzecz, która zwykle najbardziej dziwi na pierwszym spotkaniu. Dwie firmy z tym samym certyfikatem mogą mieć zupełnie inne zabezpieczenia i obie są w porządku, o ile potrafią uzasadnić swój wybór. Sam certyfikat jest ważny trzy lata, a w każdym z nich odbywa się badanie nadzoru, więc decyzja o wejściu w normę jest decyzją na kilka lat, nie na jeden projekt.

Co norma nakazuje, a co zostawia Wam do decyzji

Wymagania obowiązkowe siedzą w rozdziałach od czwartego do dziesiątego i nie zależą od wielkości organizacji. Sposób ich spełnienia zależy już wyłącznie od Was, co najlepiej widać, gdy postawi się obok siebie dwie zielonogórskie firmy o zupełnie innym profilu.

Wymaganie	Spółka z parku technologicznego	Zakład produkcyjny
Kontekst i granice	jeden produkt, zespół i środowiska chmurowe	biuro, hala i sieć sterowania traktowane osobno
Przywództwo	wspólnicy, którzy sami piszą kod	zarząd razem z kierownikiem utrzymania ruchu
Planowanie ryzyka	dane klienta skopiowane na środowisko testowe	przestój linii i dokumentacja konstrukcyjna
Wsparcie i kompetencje	rotacja w zespole i wdrożenie nowej osoby	szkolenia dla trzech zmian oraz dla pracowników agencji
Działanie	wydania oprogramowania i dostęp do repozytoriów	serwisant maszyny wchodzący z własnym laptopem
Ocena wyników	przegląd po awarii u dostawcy chmury	audyt wewnętrzny wpisany w plan przeglądów
Doskonalenie	poprawka wypuszczona w kolejnym wydaniu	działanie korygujące odnotowane w rejestrze

Ta sama norma, dwa zupełnie inne systemy i oba mogą przejść certyfikację. Warunek jest jeden, każdy wybór ma wynikać z rachunku ryzyka i dać się uzasadnić.

Czego norma dotyczy poza serwerownią

Informacji w każdej postaci, także tej na papierze i tej, którą ktoś nosi w głowie. W zakładach oznacza to rysunki konstrukcyjne, parametry procesu i wyniki pomiarów, czyli rzeczy warte więcej niż zawartość dysków księgowości. W firmach usługowych oznacza to dokumenty klientów krążące pocztą.

Duża część pracy dotyczy przy tym kadr. Kto zakłada konto pierwszego dnia, kto odbiera dostęp ostatniego, kto wydaje kartę wejściową pracownikowi agencji zatrudnionemu na jeden sezon i gdzie to wszystko jest odnotowane. W zakładzie z sezonowym szczytem produkcji ten jeden proces potrafi być największym pojedynczym ryzykiem w całym rejestrze.

Co sprawia najwięcej kłopotu przy pierwszym podejściu

Rachunek ryzyka, bo tabela pobrana z internetu nie zawiera Waszych aktywów i widać to od pierwszego wiersza. Zapisy, bo proces bez śladu nie istnieje dla audytora, a ślad musi mieć daty rozłożone w czasie. Ciągłość, bo norma wymaga działania systemu, a nie jednorazowego zrywu przed badaniem. Wreszcie zaangażowanie zarządu, którego nie da się przekazać nikomu innemu, bo ktoś musi zatwierdzić kryteria i przeprowadzić przegląd zarządzania.

Czego audytor nie ocenia

Nie ocenia marki firewalla, nie porównuje Was z konkurencją i nie mówi, że powinniście kupić droższe rozwiązanie. Sprawdza, czy decyzja o zabezpieczeniu wynika z ryzyka, czy ktoś ją zatwierdził i czy jest ślad, że działa. Zakład z prostymi środkami i uporządkowanym procesem wychodzi z badania lepiej niż firma z drogim sprzętem kupionym bez analizy.

Od czego zacząć w praktyce

Od ustalenia, kto tego od Was oczekuje i w jakim terminie. Gdy odpowiedzią jest konkretna umowa, zaczynamy od badania zgodności i układamy harmonogram pod jej datę. Gdy odpowiedzią jest ogólna chęć podniesienia bezpieczeństwa, tańszym pierwszym krokiem bywa audyt IT, bo uporządkowanie kopii, dostępów i sieci daje więcej niż budowa systemu zarządzania.

Kolejność wpływa też na budżet. Uporządkowana wcześniej technika skraca listę braków, z którą wchodzi się we wdrożenie, a krótsza lista to mniej godzin doradztwa do opłacenia. Sam zakres dokumentów opisuje dokumentacja systemu, a relację normy do przepisów zestawienie z NIS 2.

Kiedy mówimy, żeby odpuścić

Gdy jedynym powodem jest logotyp na stronie, a firma nie zamierza utrzymywać systemu po odebraniu papieru. Certyfikat bez działającego procesu kończy się kłopotem przy pierwszym audycie nadzoru, czyli rok później. Proponujemy wtedy zgodność bez certyfikacji, w tym samym zakresie merytorycznym i bez opłaty jednostki, co na pytania kontrahentów odpowiada równie dobrze.

Treść sprawdzona i zaktualizowana: 31 lipca 2026