Utrzymanie zgodności ISO 27001 po certyfikacji

Certyfikat to nie meta. To początek utrzymania zgodności, o którym mało kto myśli w dniu wręczenia dokumentu. Certyfikat ISO 27001 na ścianie i zerowe działania rok później widać więcej razy, niż być powinno. Firma przechodzi przez miesiące przygotowań, gap analysis, budowę dokumentacji, audyt certyfikujący, w końcu dostaje dokument, robi zdjęcie do mediów społecznościowych i przez […]

Przegląd zarządzania ISO 27001: wymóg normy, który najłatwiej zrobić tylko formalnie

Przegląd zarządzania podpisany bez czytania to pierwsza rzecz, którą wyłapie doświadczony audytor. Dokument wygląda poprawnie, ma datę, ma podpis, ma wszystkie wymagane punkty w nagłówkach. Brakuje w nim tylko jednego: śladu, że ktokolwiek z zarządu rzeczywiście przeczytał, co jest w środku, i podjął na tej podstawie jakąkolwiek decyzję. Co powinno wejść w skład przeglądu zarządzania […]

ISO 27001: certyfikat czy proces zgodności? Jak to rozróżnić, zanim zapłacisz za audyt

Klienci pytają mnie o certyfikat ISO 27001. Prawie żadna firma nie pyta jednak, co ten certyfikat miałby właściwie udowodnić. To pytanie jest ważniejsze niż pytanie o cenę audytu, bo od odpowiedzi zależy, czy dana organizacja w ogóle potrzebuje certyfikacji, czy wystarczy jej dobrze zbudowany system zarządzania bezpieczeństwem informacji, bez formalnego dokumentu na ścianie. Kiedy certyfikat […]

Audyt wewnętrzny czy zewnętrzny – co wybrać

Wybór złego audytora wewnętrznego kosztuje więcej niż jego brak. Brzmi jak paradoks, ale to jedna z najczęstszych pułapek, jakie widzę u firm przygotowujących się do certyfikacji ISO 27001. Ktoś w organizacji dostaje zadanie „zrób audyt wewnętrzny”, bo tak wymaga norma i robi go tak, żeby nikomu nie podpaść. Po audycie jest raport bez zastrzeżeń, brak […]

ISO 27001 nie chroni Cię przed atakiem – chroni Cię przed konsekwencjami po ataku

Certyfikat nie zatrzyma ransomware. Nie zablokuje phishingu, nie wykryje exploitu zero-day, nie powstrzyma pracownika przed kliknięciem w link, który nie powinien być kliknięty. Ale zatrzyma coś innego – proces, który zdecyduje, czy Twoja firma przeżyje atak jako organizacja, czy się w nim rozpadnie. To rozróżnienie brzmi jak szczegół ale nim nie jest. Co ISO 27001 […]

Jak przygotować firmę do NIS2

NIS2 zmienia podejście do cyberbezpieczeństwa w firmach. Nie chodzi już tylko o zabezpieczenie komputerów, instalację antywirusa czy wykonywanie kopii zapasowych. Teraz firmy muszą bardziej świadomie zarządzać ryzykiem, wiedzieć jakie systemy są kluczowe, kto odpowiada za bezpieczeństwo i jak zareagować, kiedy pojawi się incydent. Wiele firm nadal traktuje cyberbezpieczeństwo jako temat techniczny, którym zajmuje się dział […]

Jak przygotować firmę do audytu bezpieczeństwa

I dlaczego większość firm robi to dopiero wtedy, gdy jest już za późno… Słowo „audyt bezpieczeństwa” w wielu firmach wywołuje lekkie napięcie. Właściciel słyszy koszt, dział IT słyszy stres, a pracownicy zastanawiają się, czy ktoś zaraz zacznie sprawdzać ich hasła zapisane na karteczkach. Przez lata widziałem jedną powtarzalną reakcję. Dopóki nic się nie wydarzyło, temat […]

Czy Twoja firma jest gotowa na atak ransomware?

Ransomware przestał być problemem wielkich korporacji. Dziś trafia głównie w małe i średnie firmy. Powód jest prosty. W takich organizacjach infrastruktura IT często rozwija się latami bez większego przeglądu bezpieczeństwa. System działa, więc nikt go nie rusza. Do momentu aż ktoś straci dostęp do danych. Znam firmy, które były przekonane, że są przygotowane. Mieli antywirusa, […]

Czy Twoja firma spełnia minimalne standardy cyberbezpieczeństwa w 2026 roku?

W 2026 roku pytanie nie brzmi już „czy ktoś nas zaatakuje”, tylko „kiedy i jak bardzo nas to zaboli”. I mówię to jako ktoś, kto obserwuje firmy po incydencie. Najczęściej słyszymy: mamy antywirusa, backup się robi, router stoi w serwerowni, hasła są zmieniane. Na papierze wygląda to nieźle. Problem zaczyna się wtedy, gdy ktoś próbuje […]