Proszę pokazać, że nowe osoby przyjęły zasady przed startem.
Zatrudnienie uruchamia wdrożenie. Krok z polityką czeka, aż nowa osoba podpisze, a krok z plikiem trzyma podpisane NDA, dopóki nie sprawdzi go administrator lub manager.
ISO/IEC 27001:2022
Kadrowa część ISO 27001, z dowodami w aktach
Zatrudnienia, zmiany ról i odejścia działają jako procesy z właścicielami i terminami. Polityki są podpisywane per wersja, szkolenia wracają co roku, a każda zmiana administracyjna trafia do dziennika audytu. SquadBear prowadzi kadrowe zabezpieczenia Twojego SZBI, a asystent AI zbierze ich stan w jednym pytaniu.
SquadBear nie certyfikuje i nie zastępuje narzędzia do całego SZBI. Prowadzi te zabezpieczenia, które przechodzą przez HR.
Ty
Przygotuj stan zabezpieczeń kadrowych na czwartkowy przegląd zarządzania.
Asystent · ISO 27001
Zabezpieczenia kadrowe, Q3
- Polityki5.1 · 7.35 z 6 w pełni podpisanych · InfoSec v4: 41/46, 2 po terminie
- Nowe osoby6.1 · 6.2 · 6.63 wdrożenia · NDA i polityki podpisane
- Zmiany ról5.182 przeglądy dostępów · oba zamknięte
- Odejścia6.5 · 5.11Dostępy odebrane 6/6 · 1 laptop nie wrócił
- Szkolenia6.311 zamkniętych w kwartale · 1 z terminem 17 paź
- Dziennik audytu8.1537 zmian od lipca · 2 zmiany ról, 1 cofnięty podpis
O co pyta audytor
Sześć pytań z każdego audytu
Audyt nadzoru i recertyfikacja wracają do tych samych pytań o ludzi. Każde powinno być sprawdzeniem w systemie, a nie tygodniem przekazywania maili.
Proszę pokazać, że przy zmianie roli przejrzano dostępy.
Proces startuje przy zmianie stanowiska, roli lub managera. Przegląd dostępów ma konkretnego właściciela, a decyzja zapisuje się z tym, kto ją podjął i kiedy.
Proszę pokazać, że ta osoba straciła dostępy w ostatnim dniu pracy.
Proces odejścia startuje sam, dostępy przed sprzętem, a każdy krok zapisuje, kto go zamknął i kiedy. Sesje tej osoby w SquadBear, połączenia asystentów i klucze API wygasają w tej samej chwili.
Proszę pokazać zeszłoroczne szkolenia z bezpieczeństwa, osoba po osobie.
Annual security training uruchamia się w rocznicę zatrudnienia i czeka na podpis tej osoby pod obowiązującą polityką bezpieczeństwa. Jeden przebieg na osobę na rok, każdy z czasem zamknięcia.
Proszę pokazać, że pracownicy zapoznali się z obowiązującą polityką bezpieczeństwa informacji.
Każda wersja ma przypięty odcisk SHA-256, a każdy podpis zapisuje wpisane imię i nazwisko, ten odcisk, czas i kanał. Lista kampanii eksportuje się do CSV.
Proszę pokazać, kto zmieniał role i uprawnienia w systemie HR.
Zmiany ról, ustawień MFA, polityk i podpisów oraz kroki procesów trafiają do dziennika audytu, który nigdy nie jest czyszczony - z filtrem po osobie, rekordzie lub dacie.
Mapa zabezpieczeń
Gdzie SquadBear pasuje do Załącznika A
Numeracja według ISO/IEC 27001:2022. „Prowadzi” oznacza, że zabezpieczenie działa w SquadBear i tam powstaje dowód. „Wspiera” oznacza, że SquadBear trzyma zadanie lub zapis, a część zabezpieczenia jest gdzie indziej.
| Zabezpieczenie | W SquadBear | Dowód dla audytora |
|---|---|---|
| Zatrudnienia, zmiany ról i odejścia | ||
| 6.5 · 5.11Obowiązki po zakończeniu zatrudnienia i zwrot aktywówProwadzi | Proces odejścia startuje przy dezaktywacji - przekazanie prac, odebranie dostępów, potem odbiór sprzętu - każdy krok z właścicielem i terminem. Otwarte akceptacje i kroki przechodzą na managera. | Jeden przebieg na odchodzącą osobę z właścicielem i czasem zamknięcia każdego kroku oraz każdą zmianą kroku w dzienniku audytu. |
| 6.2 · 6.6Warunki zatrudnienia i umowy o zachowaniu poufnościWspiera | Wdrożenie startuje z zatrudnienia. Krok z polityką czeka na podpis, a krok z plikiem zbiera podpisaną umowę lub NDA, opcjonalnie sprawdzaną przez administratora lub managera. | Oś czasu przebiegu - właściciel, czas zamknięcia i osoba sprawdzająca dla każdego kroku - oraz plik w teczce pracownika. |
| 5.18Prawa dostępu przy zatrudnieniu, zmianie i odejściuWspiera | Proces może wystartować przy zatrudnieniu, odejściu albo zmianie stanowiska, roli lub managera i daje pracy nad dostępami konkretnego właściciela. Odebranie dostępów w innych systemach pozostaje zadaniem - SquadBear ich nie deprovisionuje. | Zamknięte kroki i decyzje dostępowe z właścicielem i czasem. |
| 6.1Weryfikacja kandydatów (screening)Wspiera | Krok zadania, pliku lub decyzji we wdrożeniu zapisuje, że weryfikacja się odbyła i kto ją potwierdził. SquadBear nie prowadzi weryfikacji przeszłości. | Zamknięty krok z właścicielem i czasem. |
| Świadomość i szkolenia | ||
| 6.3 · 7.2Świadomość, kształcenie i szkoleniaWspiera | Szablon Annual security training uruchamia się w rocznicę zatrudnienia i czeka na podpis pod obowiązującą polityką. Dodaj krok z plikiem, jeśli zbierasz też certyfikat z kursu. | Jeden przebieg na osobę na rok, z czasami zamknięcia. |
| Polityki | ||
| 5.1 · 7.3Polityki bezpieczeństwa informacji i świadomość ich treściProwadzi | Dokumenty firmowe z niezmiennymi wersjami i kampanie, które proszą wybraną grupę o podpis pod jedną wersją do określonej daty. Przypomnienia trafiają tylko do tych, którzy nie podpisali. | Dla kampanii: kogo poproszono, status, data podpisu (CSV). Dla podpisu: imię i nazwisko, odcisk wersji, czas, kanał. |
| 7.5Udokumentowane informacjeWspiera | Wersji polityki nie da się edytować ani usunąć, a pole „Obowiązuje od” zapisuje, od kiedy dany tekst obowiązuje. | Historia wersji z odciskiem dla każdej z nich. |
| 5.10 · 6.4 · 6.7 · 7.7Dopuszczalne użycie, postępowanie dyscyplinarne, praca zdalna, czyste biurkoWspiera | Te same kampanie, dla zasad, które te zabezpieczenia każą znać. Egzekwowanie tych zasad odbywa się poza SquadBear. | Podpisy per wersja, jak wyżej. |
| Dostęp i dziennik audytu | ||
| 5.15 · 5.17 · 8.5Dostęp do samego SquadBearProwadzi | Cztery role, wymuszone MFA dla całej przestrzeni z okresem przejściowym, klucze dostępu (passkeys) oraz logowanie przez Google lub Microsoft, które możesz wymagać dla swojej domeny. Dezaktywacja kończy sesje, uprawnienia asystentów i klucze API odchodzącej osoby. | Raport zgodności MFA oraz wpisy w dzienniku audytu o zmianach ról i zasad logowania. |
| 8.15Rejestrowanie zdarzeń w systemie HRWspiera | Zmiany administracyjne dotyczące ludzi, ról, polityk, podpisów, procesów i ustawień trafiają do dziennika audytu, który nigdy nie jest czyszczony. Podgląd wymaga planu Team lub Enterprise. | Dziennik audytu filtrowany po osobie, rekordzie lub okresie. |
| Prywatność | ||
| 5.34Prywatność i ochrona danych osobowychWspiera | Region danych UE lub USA, eksport danych osoby i usunięcie, które zachowuje dowody zgodności pod zastępczą nazwą. | Plik eksportu i potwierdzenie usunięcia. |
Jak to działa
Dowody powstają przy okazji pracy
Procesy prowadzą kroki przy zatrudnieniu, zmianie roli i odejściu, kampanie zbierają podpisy pod politykami, a dziennik audytu zapisuje każdą zmianę administracyjną. Dowody to to, co zostaje po pracy.
Nowe osoby · 6.1 · 6.2 · 6.6
Nowe osoby zaczynają z podpisanymi zasadami
Zatrudnienie uruchamia New joiner onboarding z właścicielami i terminami liczonymi od daty startu. Krok z polityką wstrzymuje przebieg do podpisu, krok z plikiem, który ktoś musi sprawdzić, trzyma podpisane NDA, a krok decyzji zapisuje wynik weryfikacji kandydata.
UtworzonoWdrożenie
Lista zadań wdrożeniowych
- Przygotowanie laptopa i kont
Marta14 wrzstart −2d - Mail powitalny + plan na dzień 1
Julia15 wrzstart −1d - Podpisanie podręcznika firmyEmily17 wrzstart +1d
- Uzupełnienie profilu i kontaktówEmily18 wrzstart +2d
Zmiany ról · 5.18
Zmiana roli to przegląd dostępów
Proces może wystartować przy każdej zmianie stanowiska, roli lub managera. Daj przeglądowi dostępów właściciela i krok decyzji, a każda zmiana zostawi zapis, kto co sprawdził. Szablon Manager change handover jest gotowy do dostosowania.
Procesy · Aktywny
Przegląd dostępów przy zmianie roli
StartGdy zmienia się czyjaś kartoteka
Job title lub Role zmienione- 1Przejrzyj dostępy do nowej roliZadanie · start +2 dni
Adam - 2Czy dostęp pasuje do roli?Decyzja · Pasuje / Wymaga zmianAdam
Julia Mazur · Product Designer → Design Lead · przebieg uruchomiony 2 paźOdejścia · 6.5 · 5.11 · 5.18
Odejścia w dobrej kolejności
Szablon odejścia odbiera dostępy, zanim wróci sprzęt, i daje znać HR, gdy oba kroki są gotowe. Każdy krok zapisuje, kto go zamknął i kiedy, a SquadBear w chwili dezaktywacji kończy sesje i połączenia asystentów odchodzącej osoby.
NieaktywnySesje SquadBear, asystenci AI i klucze API wyłączone · 30 wrz 17:40
Proces
Employee offboarding
- Przekazanie bieżących pracMarta
- Odebranie dostępów do systemówMarta
- Odbiór sprzętuJulia
- Punkty wyjścia zamknięte (do HR)Wiadomość
Szkolenia · 6.3 · 7.2
Przypomnienie w każdą rocznicę zatrudnienia
Annual security training wysyła wiadomość w rocznicę zatrudnienia, a potem czeka, aż osoba podpisze obowiązującą politykę bezpieczeństwa. Publikuj co roku przejrzany tekst jako nową wersję, a przypomnienie poprosi o podpis pod tegoroczną.
Procesy · Zgodność
Annual security training
Tomasz Wójcikrocznica 12 wrzPodpisano v4
Natalia Baranrocznica 26 wrzPodpisano v4
Magda Królrocznica 3 paźTermin 17 paź
Polityki · 5.1 · 7.3 · 7.5
Polityki podpisane per wersja
Publikacja przypina SHA-256 pliku do niezmiennej wersji. Uruchom kampanię dla wszystkich, zespołu lub jednej osoby z terminem, a przypomnienia pójdą tylko do niepodpisanych - 1. i 3. dnia po terminie, potem co tydzień do 30. dnia. Opcja „Proś nowo zatrudnionych o podpisanie bieżącej wersji” obejmuje każdego zatrudnionego później.
Dokumenty · Kampania ISO 27001
Polityka Bezpieczeństwa Informacji
ISO 27001:2022 · Wersja 4.0 · Od 15 lip 2026
Podpisano
31
z 46 osób
Oczekuje
15
przypomnienia
Zgodność
Gotowe
Rejestr audytowy
67% ukończono
Dostęp i audyt · 5.15 · 8.5 · 8.15
Kto co zmienił, zapisane na stałe
Wymagaj MFA w całej przestrzeni albo logowania przez Google lub Microsoft dla swojej domeny. Zmiany ról, ustawień MFA, polityk i podpisów oraz kroki procesów trafiają do dziennika audytu, który nigdy nie jest czyszczony - filtruj go po osobie, rekordzie lub dacie, gdy pyta audytor. Podgląd wymaga planu Team lub Enterprise.
Ustawienia · Dziennik audytu
Zmiany od 1 lipca
- 4 paź 08:30
employee.updatedTomasz W. · rola: managerMarta Z. - 3 paź 11:02
policy.acknowledgment_revokedInfoSec v4 · powód zapisanyMarta Z. - 2 paź 09:15
policy.rollout_createdInfoSec v4 · wszyscy aktywni · 46Marta Z. - 30 wrz 17:52
process_action.completedOdebranie dostępów · Filip K.Marta Z. - 29 wrz 10:20
mfa.policy_updatedMFA wymagane · 14 dni na wdrożenieMarta Z.
Z Twoim asystentem AI
Obowiązki SZBI prosto z Claude'a lub ChatGPT
Podłącz SquadBear przez MCP, a asystent działa na Twoim loginie i z Twoją rolą. Zbierze stan wszystkich zabezpieczeń na przegląd zarządzania, sprawdzi odejścia i szkolenia, uruchomi kampanię polityki i dopilnuje brakujących podpisów - a każda zmiana trafia do tego samego dziennika audytu co w aplikacji.
Pełnomocnik SZBI · ClaudePrzykładowy scenariusz
Prompt
Przygotuj stan zabezpieczeń kadrowych na czwartkowy przegląd zarządzania - polityki, nowe osoby, zmiany ról, odejścia, coroczne szkolenia i zmiany w dzienniku audytu od lipca.
Przykładowy rekord
list_policies6 policies · Information Security v4: 41 of 46 signed, 2 overdue · 5 others fully signed
Sprawdź parametry zapytania
{}Przykładowy rekord
list_process_runs3 runs since Jul 1 · 3 completed · policy and upload steps done
Sprawdź parametry zapytania
{ "processId": "prc_onboarding" }Przykładowy rekord
list_process_runs2 runs · 2 completed · decision: matches the role
Sprawdź parametry zapytania
{ "processId": "prc_role_change_review" }Przykładowy rekord
list_process_runs6 runs · 5 completed · 1 active: Collect the equipment (Filip K., owner Julia)
Sprawdź parametry zapytania
{ "processId": "prc_offboarding" }Przykładowy rekord
list_process_runs12 runs this quarter · 11 completed · 1 active, due Oct 17
Sprawdź parametry zapytania
{ "processId": "prc_security_training" }Przykładowy rekord
list_audit_logs37 entries · 2 role changes · 1 policy.acknowledgment_revoked · mfa.policy_updated
Sprawdź parametry zapytania
{ "from": "2026-07-01" }Stan na przegląd: 5 z 6 polityk ma komplet podpisów; przy InfoSec v4 brakuje 5 osób, Nora i Oskar są po terminie. Trzy wdrożenia zamknięte z podpisanym NDA, oba przeglądy dostępów po zmianie roli zamknięte. Wszystkim sześciu odchodzącym odebrano dostępy w ostatnim dniu; laptop Filipa jeszcze nie wrócił (krok Julii). 11 corocznych szkoleń zamkniętych, jedno z terminem 17 października. Dziennik audytu: 37 zmian od lipca, w tym 2 zmiany ról i 1 cofnięty podpis z zapisanym powodem. Niczego nie zmieniałem.
Każde pokazane narzędzie jest w produkcie
Polecenia, które działają już dziś
“Przygotuj stan zabezpieczeń kadrowych na przegląd zarządzania - polityki, nowe osoby, zmiany ról, odejścia, szkolenia i zmiany w dzienniku audytu od lipca.”
list_policies · list_process_runs · list_audit_logs
“Czy wszyscy zatrudnieni od lipca zakończyli wdrożenie, łącznie z wgraniem NDA?”
list_process_runs · get_process_run
“Które odejścia z tego miesiąca mają jeszcze otwarte kroki i kto je prowadzi?”
list_process_runs · get_process_run
“Czyje coroczne szkolenie z bezpieczeństwa jest teraz otwarte i do kiedy?”
list_process_runs · get_process_run
“Ustaw wgrany plik v4 jako obowiązującą Politykę bezpieczeństwa informacji i poproś wszystkich o podpis do końca miesiąca.”
list_files · publish_policy_version · create_policy_rollout
“Pokaż wszystkie zmiany ról i cofnięte podpisy od ostatniego audytu.”
list_audit_logs · Team i Enterprise
Dlaczego audytor to zaakceptuje
- Twój login, Twoja rola
- Asystent łączy się przez Twoje własne logowanie OAuth, a nie wspólne konto serwisowe, i może tylko to, co Ty w aplikacji.
- Większe zmiany wymagają kliknięcia w SquadBear
- Uruchomienie procesu, zmiana ustawień przestrzeni lub polityki urlopowej i usunięcie osoby czekają na akceptację dokładnego planu w aplikacji. Token asystenta nie może ich zatwierdzić.
- Podpis zostaje osobisty
- Potwierdzanie dokumentów wymaga osobnego uprawnienia. Asystent może podpisać tylko za osobę, która go podłączyła, a podpis zapisuje, że przyszedł przez asystenta.
- Odchodzący tracą też asystentów
- Dezaktywacja odbiera uprawnienia asystentów i klucze API tej osoby w tym samym kroku.
SquadBear w rejestrze dostawców
Odpowiedzi do oceny dostawcy
SquadBear przetwarza dane osobowe, więc należy do Twojego rejestru dostawców (Załącznik A 5.19 do 5.23). Oto odpowiedzi, których zwykle potrzebuje taka ocena.
Region danych
UE lub USA, wybierany przy rejestracji i stały. Każdy region ma własną bazę danych i magazyn plików.
Izolacja klientów
Każde zapytanie jest ograniczone do zalogowanej przestrzeni, a baza odrzuca wiersz wskazujący na inną.
Podprzetwarzający
Cloudflare hostuje aplikację, dane, pliki i e-mail. Stripe oraz logowanie Google lub Microsoft biorą udział tylko, jeśli je włączysz.
Granice AI
Opcjonalne podsumowania korzystają z Cloudflare Workers AI bez etykiet autorów. Podłączony asystent dostaje tylko wyniki narzędzi, które jego użytkownik może zobaczyć.
Odpowiedzi na pytania
Czy SquadBear zapewni nam zgodność z ISO 27001?
Żadne narzędzie tego nie robi. Certyfikat obejmuje cały SZBI - zakres, szacowanie ryzyka, deklarację stosowania, audyt wewnętrzny i przegląd zarządzania. SquadBear prowadzi w nim zabezpieczenia kadrowe i trzyma ich dowody, czyli tę część, która zwykle żyje w arkuszach i skrzynkach.
Jakie zdarzenia mogą uruchomić proces?
Zatrudnienie, odejście, zmiana stanowiska, roli, managera lub statusu oraz zaakceptowany wniosek urlopowy. Procesy z datą liczą dni od daty startu, cykliczne powtarzają się w rocznicę zatrudnienia, a administrator lub manager może uruchomić proces ręcznie.
Czy SquadBear odbiera dostępy w naszych innych systemach?
Nie. Daje tej pracy właściciela, termin i zapis. Usunięcie kont w Twoim dostawcy tożsamości lub innych narzędziach to krok, który ktoś zamyka, a SquadBear nie ma provisioningu SAML ani SCIM. Własny dostęp odchodzącej osoby do SquadBear kończy automatycznie.
Co możemy przekazać audytorowi?
Przebiegi procesów pokazują kroki każdej nowej, zmieniającej rolę i odchodzącej osoby z właścicielami i czasami. Eksportuj podpisy w każdej kampanii daje plik CSV z listą poproszonych, ich statusem i datą podpisu. Dziennik audytu (Team i Enterprise) pokazuje zmiany administracyjne. Jednego eksportu „pakietu audytowego” jeszcze nie ma.
Czy wpisane imię i nazwisko wystarczy audytorowi?
Przy potwierdzeniu zapoznania z polityką to zapis, który audytorzy zwykle sprawdzają - kto potwierdził którą wersję, kiedy i jakim kanałem. To potwierdzenie zapoznania, a nie kwalifikowany podpis elektroniczny, więc umowy i NDA, które go wymagają, podpisuj w dedykowanym narzędziu, a wynik wgraj we wdrożeniu.
Jak wykazać coroczne działania uświadamiające?
Przeglądaj polityki co roku i publikuj każdy przejrzany tekst jako nową wersję. Szablon Annual security training poprosi wtedy każdą osobę w rocznicę zatrudnienia. Podpis należy do jednej wersji, więc nikt nie zostanie poproszony o podpis pod tą samą wersją dwa razy.
Czy nasz asystent może podpisywać polityki za ludzi?
Tylko za osobę, która go podłączyła, tylko z osobnym uprawnieniem do potwierdzeń, a zapis pokazuje, że podpis przyszedł przez asystenta. Nikt nie może podpisać za kogoś innego - ani w aplikacji, ani przez asystenta.
Czy sam SquadBear ma certyfikat ISO 27001?
Jeszcze nie. Strona bezpieczeństwa opisuje region danych, izolację klientów, podprzetwarzających i to, jak AI dotyka Twoich danych - na potrzeby oceny dostawcy.
Jakiego planu potrzebujemy?
Procesy, dokumenty firmowe i kampanie działają w każdym planie. Plan Free obejmuje pięć osób i trzy aktywne procesy. Podgląd dziennika audytu wymaga planu Team lub Enterprise.
Przyjdź na kolejny audyt z dowodami już w aktach
Wdrożenie i odejście są włączone w nowej przestrzeni, a dziennik audytu startuje z pierwszą zmianą. Dodaj polityki i coroczne szkolenie, a reszta to praca, którą i tak wykonujesz.
Twój agent jest połączonyUrlopy · Czas pracy · Kadry