सूचना सुरक्षा रणनीति: क्या आपने तय किया है कि कैसे आगे बढ़ना है?

आपका स्वागत है! मेरा नाम एंटोन उडोविचेंको है, मैं इंफोसिस के ऑडिट विभाग का प्रमुख हूं। अपने अनुभव के आधार पर, मैंने कंपनी में सूचना सुरक्षा रणनीति विकसित करने के लिए निर्देश तैयार किए।


कई कंपनियों के लिए सूचना सुरक्षा (आईएस) रणनीति का विकास एक कठिन काम है, दोनों ही विकास की प्रक्रिया को व्यवस्थित करने और रणनीति के बाद के व्यावहारिक कार्यान्वयन के दृष्टिकोण से। कुछ कंपनियों का कहना है कि वे योजना बनाने के लिए समय और ऊर्जा बर्बाद किए बिना औपचारिक योजना के बिना कर सकते हैं, प्रौद्योगिकी बाजार में तेजी से बदलावों को सही ठहराते हुए इसे सही ठहराते हैं। प्रभावी कार्यों की उपस्थिति को देखते हुए, इस तरह के दृष्टिकोण से कुछ सफलता मिल सकती है, हालांकि, यह न केवल भविष्य में सफलता की गारंटी देता है, बल्कि इसे गंभीर संदेह में भी डालता है। औपचारिक योजना काफी गलत निर्णय लेने के जोखिम को कम करती है और बाद के नियंत्रण के आधार के रूप में कार्य करती है, और बाजार में बदलाव के लिए तत्परता बढ़ाने में भी मदद करती है।

एक नियम के रूप में, एक सूचना सुरक्षा रणनीति की आवश्यकता, उन कंपनियों के लिए पैदा होती है, जो पहले से ही बाजार में पर्याप्त आत्मविश्वास महसूस करती हैं ताकि आगे के वर्षों के लिए योजना बनाई जा सके, लेकिन निम्नलिखित चुनौतियों का सामना करना पड़ा है:

• कंपनी के रणनीतिक लक्ष्यों और सूचना सुरक्षा के विकास के निर्देशों के बीच सहसंबंध की कमी;
• कंपनी की प्रमुख व्यावसायिक प्रक्रियाओं की सूचना सुरक्षा का अपर्याप्त स्तर;
• सूचना सुरक्षा के विकास में निवेश पर कम रिटर्न।

सूचना सुरक्षा विकास रणनीति को किसी प्रकार का मानचित्र माना जाना चाहिए जो भूमि पर स्थित स्थलों को परिभाषित करता है और लक्ष्य तक पहुंचाता है। यह आपको उन लक्ष्यों के लिए प्रबंधनीय लक्ष्य प्राप्त करने की अनुमति देता है जो कंपनी और / या व्यक्तिगत क्षेत्रों के विकास के लिए जिम्मेदार हैं। यह ध्यान दिया जाना चाहिए कि सूचना सुरक्षा रणनीति स्थिर नहीं होनी चाहिए और, क्योंकि अनिश्चितता का कारक समय के साथ कम हो जाता है, रणनीति की समीक्षा की जानी चाहिए और, यदि आवश्यक हो, तो समायोजित, सामरिक निर्णयों के लिए नई प्राथमिकताएं निर्धारित करना।

ब्याज की सूचना सुरक्षा रणनीति किसके लिए है?

कुछ लोग गलती से मानते हैं कि आईएस की रणनीति की जरूरत केवल आईएस को सुनिश्चित करने के लिए जिम्मेदार लोगों द्वारा है। वास्तव में, IS रणनीति के बहुत अधिक उपयोगकर्ता हैं और सभी की अपनी रुचि है, मुख्य हैं:

कंपनी प्रबंधन:

• कंपनी विकास की सामान्य अवधारणा के कार्यान्वयन में सूचना सुरक्षा की भूमिका को समझना;
• संपूर्ण कंपनी की विकास रणनीति के साथ सामंजस्य सुनिश्चित करना;
• सूचना सुरक्षा में निवेश के लक्ष्यों और मात्रा की समझ;
• निवेशों का तर्कसंगत वितरण;
• लक्ष्यों की उपलब्धि की निगरानी के लिए उपकरण।

सूचना प्रौद्योगिकी सेवा:

• आईटी कंपनी के विकास में सूचना सुरक्षा की भूमिका को समझना;
• लक्ष्य आईटी वास्तुकला के लिए आईएस की ओर से आवश्यकताओं की समझ।

सूचना सुरक्षा सेवा:

• सूचना सुरक्षा के विकास के लिए समान सिद्धांतों की उपस्थिति;
• सूचना सुरक्षा कंपनी के लक्ष्य वास्तुकला की समझ;
• एक विस्तृत कार्य योजना (परियोजना पोर्टफोलियो) की उपलब्धता;
• आवश्यक संसाधनों की स्पष्ट समझ;
• सूचना सुरक्षा के संबंध में कानून और उद्योग मानकों का अनुपालन;
• आईएस लक्ष्यों की उपलब्धि की निगरानी के लिए उपकरण।

सूचना सुरक्षा रणनीति विकसित करने की प्रक्रिया

इससे पहले कि आप एक रणनीति विकसित करने के मुख्य चरणों पर विचार करें, आपको आईएस रणनीति के लिए गुणवत्ता मानदंड निर्धारित करने की आवश्यकता है और तदनुसार, इसे विकसित करने के उद्देश्य से, यह तीन प्रश्नों के पूर्ण उत्तर प्राप्त करना है:

• सूचना सुरक्षा के विकास के लिए रणनीतिक लक्ष्य क्या हैं, ये लक्ष्य कंपनी के रणनीतिक लक्ष्यों के साथ कैसे संबंधित हैं?
• सूचना सुरक्षा कंपनी का भविष्य प्रोफ़ाइल (स्थिति) क्या है?
• सूचना सुरक्षा विकास के रणनीतिक लक्ष्यों को प्राप्त करने के लिए क्या कार्रवाई की जानी चाहिए?

चरण 1. तैयारी। शुरू करने के लिए, हम परियोजना प्रबंधन के मापदंडों और आदेश का निर्धारण करेंगे।

हल किए जाने वाले प्रमुख कार्य:

• एक प्रोजेक्ट टीम बनाना और लक्ष्य निर्धारित करना;
• एकत्र किए गए डेटा की संरचना का समन्वय और टेम्पलेट्स का अनुकूलन;
• परियोजना की सीमाओं, संरचना और रिपोर्टिंग दस्तावेजों की सामग्री का समन्वय;
• परियोजना प्रबंधन प्रक्रिया का समन्वय
• उभरती समस्याओं को हल करने के लिए प्रक्रिया का निर्धारण;
• कार्य योजना तैयार करना और अनुमोदन करना।

इस स्तर पर, वास्तव में, आपको सफलता के लिए महत्वपूर्ण कारकों को निर्धारित करने और वांछित परिणाम प्राप्त करने की आवश्यकता है, अर्थात्:

1. परियोजना में प्रबंधन की भागीदारी: सूचना सुरक्षा रणनीति का विकास और कार्यान्वयन, पहली जगह में, कंपनी के प्रबंधन द्वारा समर्थित होना चाहिए, जो कार्य की प्रगति की निगरानी, ​​आवश्यक संसाधनों के आवंटन, साथ ही विकसित रणनीति के बाद अनुमोदन के लिए जिम्मेदार होना चाहिए।
   
2. प्रोजेक्ट टीम का गठन: इसकी संरचना में सबसे सक्षम कर्मचारी शामिल होने चाहिए और पूरे प्रोजेक्ट में अपरिवर्तित रहना चाहिए। निम्नलिखित संगठनात्मक इकाइयाँ परियोजना में प्रतिष्ठित हैं:
   
   • ठेकेदार से परियोजना क्यूरेटर;
     
   • ग्राहक की ओर से परियोजना क्यूरेटर;
     
   • संचालन समिति;
     
   • ठेकेदार की ओर से परियोजना प्रबंधक;
     
   • ग्राहक के हिस्से पर काम करने वाले समूह का प्रमुख;
     
   • ठेकेदार की परियोजना टीम;
     
   • ग्राहक की ओर से कार्यात्मक विशेषज्ञ।
     
   
   
3. लक्ष्यों, आवश्यकताओं, सीमाओं, साथ ही परियोजना की सफलता के लिए मानदंड का स्पष्ट विवरण, जो सही दिशा का सख्ती से पालन करेगा और ग्राहक की अपेक्षाओं को पूरा करेगा।
   
4. एक परियोजना प्रबंधन प्रक्रिया का विकास: संचार और निर्णय लेने की प्रक्रिया सभी प्रबंधन कार्यों के परस्पर संबंध और अन्योन्याश्रय सुनिश्चित करती है, जिससे प्रबंधन प्रक्रिया की अखंडता और प्रभावशीलता प्राप्त होती है। प्रक्रिया को शक्तियों और जिम्मेदारियों के वितरण के लिए प्रदान करना चाहिए, प्रतिभागियों की बातचीत के लिए प्रक्रिया, मध्यवर्ती और अंतिम परिणामों के समन्वय की प्रक्रिया, समस्याओं के प्रबंधन के लिए प्रक्रिया और परियोजना में परिवर्तन करना।
   

इस चरण का परिणाम होना चाहिए:

• प्रोजेक्ट चार्टर, कार्य अनुसूची, आवश्यक साक्षात्कार की अनुसूची;
• डेटा संग्रह / रिपोर्टिंग दस्तावेजों के लिए रिपोर्टिंग दस्तावेजों और टेम्पलेट्स की संरचना।

स्टेज 2. सूचना सुरक्षा की वर्तमान स्थिति का विश्लेषण। मंच का उद्देश्य सूचना सुरक्षा के दृष्टिकोण, सूचना सुरक्षा की वर्तमान स्थिति से जानकारी के प्रसंस्करण के आदेश और तरीकों को इकट्ठा करना है।

पूछे जाने वाले मुख्य प्रश्न:

• किसी कंपनी में सूचना सुरक्षा की क्या भूमिका है?
• सूचना सुरक्षा कंपनी के कामकाज के लिए क्या आवश्यकताएं हैं?
• आईएस सुरक्षा प्रक्रियाओं की वर्तमान स्थिति क्या है?
• कौन से सूचना सुरक्षा उपकरण उपयोग किए जाते हैं, उनके पेशेवरों और विपक्ष?
• सूचना सुरक्षा प्रदान करने के लिए किसी व्यवसाय की क्या आवश्यकताएं हैं?

कंपनी में सूचना सुरक्षा की भूमिका की स्थापना एक रणनीति विकसित करने के लिए सामान्य संदर्भ निर्धारित करती है और सभी स्तरों पर किया जाता है: प्रबंधन, विभागों के प्रमुख, और कर्मचारी।

जानकारी निम्नलिखित क्षेत्रों में एकत्र की जाती है:

• कंपनी में सूचना सुरक्षा संस्कृति का स्तर;
• व्यावसायिक प्रक्रियाओं के संबंध में आईएस की प्राथमिकता;
• कंपनी की व्यावसायिक प्रक्रियाओं पर सूचना सुरक्षा का प्रभाव;
• सूचना सुरक्षा की आवश्यकता के प्रबंधन की जागरूकता;
• सूचना सुरक्षा मुद्दों पर कर्मचारियों की भागीदारी और जागरूकता की डिग्री।

अगला कदम उन आवश्यकताओं की पहचान करना है जो कंपनी का पालन करने के लिए बाध्य है या जिस पर उसने स्वेच्छा से ध्यान केंद्रित करने का फैसला किया है। आवश्यकताओं, संक्षेप में, सूचना सुरक्षा के कामकाज के लिए आधार हैं; इनमें शामिल हैं: कानून, उद्योग मानक, राष्ट्रीय और अंतर्राष्ट्रीय सूचना सुरक्षा मानक, कंपनियों के एक समूह की नीतियां, आदि।

सूचना सुरक्षा प्रक्रियाओं की जांच और विश्लेषण का चरण एक महत्वपूर्ण है, मोटे तौर पर संपूर्ण परियोजना के परिणाम का निर्धारण करता है। इसकी जटिलता बहुत ही सीमित समय के लिए, एक नियम के रूप में, सूचना सुरक्षा के भविष्य के प्रोफाइल को बनाने के लिए पर्याप्त विश्वसनीय और उद्देश्यपूर्ण जानकारी प्राप्त करने की आवश्यकता में निहित है। तीन वैचारिक दृष्टिकोणों को प्रतिष्ठित किया जा सकता है: बुनियादी, विस्तृत और संयुक्त (विशेषज्ञ)।

मूल दृष्टिकोण

दृष्टिकोण में सुरक्षा के कुछ बुनियादी स्तर के अनुपालन के लिए सूचना सुरक्षा की स्थिति का विश्लेषण शामिल है। बुनियादी स्तर, सुरक्षा उपायों का एक निश्चित मानक सेट है, एक नियम के रूप में, सभी या व्यक्तिगत सूचना प्रणालियों की सुरक्षा के लिए एक ही क्षेत्र में काम करने वाली कंपनियों की विशेषता है। सुरक्षात्मक उपायों का एक विशिष्ट सेट कुछ मानक उपायों का उपयोग करने के लिए कंपनियों की जरूरतों के आधार पर बनाया गया है, उदाहरण के लिए, कानूनी आवश्यकताओं का पालन करने के लिए, साथ ही सबसे आम खतरों से बचाने के लिए।

मूल दृष्टिकोण आपको विश्लेषण के दौरान न्यूनतम संसाधनों का प्रबंधन करने की अनुमति देता है, कुछ उपायों की उपलब्धता और उनके कार्यान्वयन के मापदंडों के बारे में सवालों के साथ चेकलिस्ट के रूप में भी लागू किया जा सकता है। इस दृष्टिकोण का एक महत्वपूर्ण दोष है एकत्र की गई जानकारी की अशुद्धि और सीमाएं, क्योंकि मूल स्तर हमेशा संसाधित जानकारी की महत्वपूर्णता, इसकी सूचना प्रणालियों और व्यवसाय प्रक्रियाओं की विशिष्टता के अनुरूप नहीं हो सकता है। किसी कंपनी की अलग-अलग प्रणालियों को संवेदनशीलता की डिग्री, विभिन्न संस्करणों और सूचनाओं के अलग-अलग गुणों की विशेषता हो सकती है, इस मामले में सामान्य सुरक्षा उपायों का उपयोग तार्किक रूप से गलत होगा।

विस्तृत दृष्टिकोण

एक विस्तृत दृष्टिकोण में सूचना प्रसंस्करण प्रक्रियाओं का व्यापक सर्वेक्षण और कंपनी की सूचना सुरक्षा सुनिश्चित करना शामिल है। इस तरह के दृष्टिकोण में सूचना परिसंपत्तियों की पहचान और मूल्यांकन, आईएस के उल्लंघन के जोखिमों का आकलन, आईएस प्रक्रियाओं की परिपक्वता का आकलन, घटना के आंकड़ों का विश्लेषण, सार्वजनिक समीक्षाओं का विश्लेषण और नियामक रिपोर्ट शामिल हैं।

एक विस्तृत विश्लेषण के परिणाम सूचना सुरक्षा के भविष्य की रूपरेखा बनाते समय सुरक्षात्मक उपायों का एक उचित विकल्प बनाना संभव बनाते हैं, हालांकि, इस दृष्टिकोण के कार्यान्वयन के लिए महत्वपूर्ण मात्रा में धन, समय और कुशल श्रम की आवश्यकता होती है। इसके अलावा, सर्वेक्षण के परिणामों की अप्रचलन की कुछ संभावना है, क्योंकि इस तरह के दृष्टिकोण को काफी समय की आवश्यकता हो सकती है।

संयुक्त (विशेषज्ञ) दृष्टिकोण

ऊपर वर्णित प्रत्येक दृष्टिकोण के आवेदन में महत्वपूर्ण सीमाएं हैं और हमेशा एक स्वीकार्य समय के लिए पर्याप्त जानकारी एकत्र करने की अनुमति नहीं देता है ताकि सूचना सुरक्षा रणनीति को यथोचित रूप से विकसित किया जा सके और परियोजनाओं का एक पोर्टफोलियो तैयार किया जा सके। इसलिए, व्यवहार में, इन तरीकों के विभिन्न संयोजनों का उपयोग किया जाता है, जिसमें विशेषज्ञों के विश्लेषण और व्यावहारिक अनुभव दोनों औपचारिक तरीके शामिल हैं। एक नियम के रूप में, यह दृष्टिकोण सूचना सुरक्षा उल्लंघनों के उच्च-स्तरीय जोखिम मूल्यांकन, (गोपनीय) जानकारी, सूचना प्रवाह और सूचना प्रणालियों के महत्व की महत्वपूर्णता को ध्यान में रखते हुए प्रारंभिक विश्लेषण पर आधारित है। भविष्य में, उच्च जोखिम पर सूचना प्रणालियों के लिए एक विस्तृत विश्लेषण किया जाता है, दूसरों के लिए यह मूल दृष्टिकोण द्वारा सीमित हो सकता है। इसके अलावा, प्रमुख सूचना सुरक्षा प्रक्रियाओं का एक विस्तृत विश्लेषण और वर्णन किया जाता है, साथ ही जानकारी और उनके पेशेवरों और विपक्षों की सुरक्षा के लिए उपयोग किए जाने वाले उपकरणों और विधियों का मूल्यांकन किया जाता है।

यह दृष्टिकोण वर्तमान स्थिति की पहचान करने में कम से कम समय और प्रयास की अनुमति देता है, ताकि सूचना सुरक्षा के भविष्य की रूपरेखा तैयार करने के लिए आवश्यक डेटा प्राप्त किया जा सके। यह केवल ध्यान दिया जाना चाहिए कि इस दृष्टिकोण में सर्वेक्षण परिणामों की निष्पक्षता और गुणवत्ता सर्वेक्षण पद्धति की गुणवत्ता और विशेषज्ञों द्वारा इसके उपयोग के अनुभव से निर्धारित की जाएगी।

इसके अलावा, यह कहने योग्य है कि सर्वेक्षण विधियों की पसंद और कर्मचारी भागीदारी की डिग्री का उपयोग किए गए दृष्टिकोण और सर्वेक्षण पद्धति द्वारा निर्धारित किया जाएगा। उदाहरण के लिए, मूल दृष्टिकोण आंतरिक दस्तावेजों और प्रश्नावली के विश्लेषण के लिए सीमित हो सकता है जिसमें प्रमुख कर्मचारियों के साथ कई साक्षात्कार होते हैं, जबकि अन्य दो दृष्टिकोणों में बड़ी संख्या में कर्मचारी और व्यापक श्रेणी के उपकरण शामिल होते हैं:

• आंतरिक दस्तावेजों का विश्लेषण;
• प्रश्नावली;
• साक्षात्कार;
• दृश्य निरीक्षण;
• विशेष तकनीकी साधनों का उपयोग करके परीक्षा।

इस चरण के अंत में, चुने हुए दृष्टिकोण की परवाह किए बिना, आपको उम्मीद करनी चाहिए:

• सूचना सुरक्षा कंपनी के विकास के स्तर पर विशेषज्ञ की राय;
• सूचना सुरक्षा की वर्तमान स्थिति का अभिन्न मूल्यांकन;
• सूचना सुरक्षा के लिए व्यावसायिक आवश्यकताओं का विवरण;
• मंच के परिणामों पर रिपोर्ट और प्रस्तुति।

स्टेज 3. सूचना सुरक्षा के लक्ष्य प्रोफ़ाइल का विकास। इस स्तर पर, निम्नलिखित प्रमुख कार्य हल किए गए हैं:

• कंपनी के रणनीतिक लक्ष्यों और सूचना सुरक्षा के विकास के निर्देशों के बीच संबंध सुनिश्चित करना;
• सूचना सुरक्षा रणनीति के बुनियादी सिद्धांतों का निर्माण;
• सूचना सुरक्षा कंपनी के भविष्य के प्रोफाइल का निर्धारण।

वरिष्ठ प्रबंधन की अपेक्षाओं के प्रबंधन के संदर्भ में सूचना सुरक्षा रणनीति विकसित करने में मुख्य बाधाओं में से एक है, स्पष्ट प्रारंभिक परिस्थितियों की कमी, अर्थात्, समझने योग्य शब्दों में सभी पहलुओं का स्पष्ट विवरण के साथ कंपनी की विकास रणनीति। व्यवहार में, एक नियम के रूप में, या तो कंपनी के लिए एक विकास रणनीति की अनुपस्थिति है, या यह औपचारिक नहीं है और, सबसे अच्छा, शब्दों में तैयार किया जा सकता है।

कंपनी के लिए एक विकास रणनीति की कमी की समस्या को व्यापार, आईटी और आईएस के प्रतिनिधियों के संयुक्त प्रयासों से हल किया जाता है, आईएस कार्यों की एक सामान्य दृष्टि विकसित करने में, निम्नलिखित कारकों को ध्यान में रखते हुए:

• संगठनात्मक परिवर्तन, बाजार और प्रौद्योगिकी विकास सहित कंपनी में क्या पहल की योजना बनाई गई है;
• व्यवसाय और आईटी-प्रक्रियाओं में क्या बदलाव की योजना बनाई गई है;
• क्या महत्वपूर्ण निर्णय विश्वसनीयता, अखंडता या जानकारी की उपलब्धता, या इसकी समय पर प्राप्ति पर निर्भर करते हैं;
• किस प्रकार की गोपनीय जानकारी के लिए सुरक्षा की आवश्यकता होती है;
• सूचना सुरक्षा घटना की घटना के बाद कंपनी के लिए क्या परिणाम हो सकते हैं;
• बाहरी वातावरण में क्या बदलाव की उम्मीद की जा सकती है, जिसमें प्रतियोगियों की कार्रवाई, कानून में बदलाव आदि शामिल हैं।

इन सवालों के जवाब कंपनी में सूचना सुरक्षा प्रदान करने के लक्ष्यों को बनाने में मदद कर सकते हैं। बदले में, यह ध्यान में रखा जाना चाहिए कि प्रत्येक पहल या प्रस्तावित कार्रवाई के लिए, संभव या वांछित परिणाम, उनके कार्यान्वयन के जोखिम, साथ ही कार्यान्वयन से इनकार करने के मामलों में जोखिम का मूल्यांकन किया जाना चाहिए।

आईएस की रणनीति के मूल सिद्धांत, वास्तव में, वैश्विक नियमों के सेट को निर्धारित करते हैं, जिनका निर्माण करते समय, साथ ही साथ समाधानों को चुनते और कार्यान्वित करते समय किया जाना चाहिए। सिद्धांतों को रणनीतिक लक्ष्यों, कंपनी की प्रक्रियाओं, निवेश के अवसरों, आदि के आधार पर तैयार किया जाता है, इसलिए वे आमतौर पर कंपनी के लिए व्यक्तिगत होते हैं। हम कुछ सार्वभौमिक सिद्धांतों को उजागर करते हैं:

• आईएस अखंडता: लागू सॉफ्टवेयर और हार्डवेयर समाधान, साथ ही संगठनात्मक उपाय, पारस्परिक रूप से सहमत होना चाहिए और सुरक्षा का एक निर्दिष्ट स्तर प्रदान करना चाहिए;
• मानकीकरण और एकीकरण: विशेषज्ञता और निर्णय, उनके समन्वय और एकीकरण, लाइसेंसिंग और रखरखाव की लागत को कम करने के लिए उपयोग की जाने वाली प्रौद्योगिकियों की विविधता को कम से कम किया जाना चाहिए;
• उपयोग में आसानी: सूचना सुरक्षा प्रदान करने के लिए इस्तेमाल किए गए तरीकों और साधनों से कर्मियों के गलत कार्यों की संख्या में वृद्धि नहीं होनी चाहिए, जबकि इस सिद्धांत का अर्थ वास्तुकला की सादगी या कार्यक्षमता में कमी नहीं है;
• न्यूनतम विशेषाधिकार: सिद्धांत का सार कम से कम अधिकारों का आवंटन है, जो उपयोगकर्ता के काम का उल्लंघन नहीं करना चाहिए;
• आर्थिक दक्षता: लागू समाधान स्वामित्व की कुल लागत को कम करने के लिए प्रयास करना चाहिए, निवेश अनुपात पर वापसी को बढ़ाने और निवेश की आर्थिक दक्षता का आकलन करने के लिए अन्य संकेतकों का अनुकूलन करना चाहिए।

सूचना सुरक्षा के भविष्य की रूपरेखा का गठन कई आंशिक रूप से परस्पर विरोधी कार्यों का समाधान है:

• सूचना सुरक्षा आवश्यकताओं (कानून, नियामकों, निर्माताओं, भागीदारों, आदि) का अनुपालन;
• आईएस के उल्लंघन के जोखिम को कम करें;
• व्यवसाय के लक्ष्यों और आईटी प्रक्रियाओं में अपेक्षित परिवर्तनों को ध्यान में रखते हुए व्यावसायिक लक्ष्यों का अनुपालन सुनिश्चित करना;
• सूचना सुरक्षा का निवेश आकर्षण प्रदान करना।

कई मानक हैं, दोनों अंतर्राष्ट्रीय (आईएसओ, COBIT, NIST, आदि), और रूसी (STO BR, GOST, आदि), जिन्हें सूचना सुरक्षा के भविष्य की रूपरेखा बनाते समय अपनाया जा सकता है। हालांकि, यहां यह याद रखना महत्वपूर्ण है कि कोई मानक पूरी तरह से सभी कंपनियों पर लागू नहीं किया जा सकता है। इसलिए, आपको केवल एक मानक के आधार पर रणनीति विकसित नहीं करनी चाहिए या कार्बन कॉपी के तहत सब कुछ करना चाहिए। अंतिम विश्लेषण में, सूचना सुरक्षा प्रक्रिया के सभी घटकों को व्यवस्थित रूप से व्यवसाय विकास के तर्क में फिट होना चाहिए: एक तरफ, विकास को बहुत अधिक सीमित न करें, और दूसरी ओर, निर्दिष्ट सीमाओं के भीतर जोखिम रखें।

एक महत्वपूर्ण मुद्दा जिसे आईएस की रणनीति के हिस्से के रूप में माना जाना चाहिए, वह कर्मियों की संख्या और योग्यता है, जो बुनियादी कार्यों की पूर्ति सुनिश्चित करने के लिए आवश्यक है। कम से कम सबसे सरल योग्यता मॉडल विकसित किया जाना चाहिए, जो नौकरी की जिम्मेदारियों के अलावा, कर्मचारियों द्वारा आवश्यक संगठनात्मक और उद्योग ज्ञान और कौशल का निर्धारण करेगा। एक सूचना सुरक्षा रणनीति विकसित करते समय, केवल उन समाधानों की पेशकश करना बेहतर होता है, जिनके लिए बाद में कंपनी के लिए उपलब्ध योग्यताएं, या कम से कम दक्षताओं की आवश्यकता होती है, जिन्हें न्यूनतम प्रयास के साथ प्राप्त किया जा सकता है।

विचार करने लायक एक और मुद्दा आउटसोर्सिंग है। यह एक अच्छा उपकरण हो सकता है जो कई सूचना सुरक्षा कार्यों के कार्यान्वयन को तेज करता है, साथ ही साथ उनके परिचालन समर्थन भी प्रदान करता है। आउटसोर्सिंग पर निर्णय लेते समय, संबंधित जोखिमों को ध्यान में रखना आवश्यक है, क्योंकि आईएस को प्रदान करने के लिए तृतीय-पक्ष कंपनियों के उपयोग का मतलब हमेशा अपने ग्राहकों और नियामकों को जिम्मेदारी का हस्तांतरण नहीं होता है, इसके अलावा, घटनाओं की स्थिति में, ग्राहक अक्सर ध्यान नहीं देते हैं कि विफलता किसके कारण हुई। इस मामले में, सूचना सुरक्षा के प्रबंधन और नियंत्रण कार्यों को पूरी तरह से आउटसोर्स नहीं किया जाना चाहिए।

इस चरण का परिणाम होगा:

• लक्ष्य और उद्देश्य, सूचना सुरक्षा विकास के सिद्धांत;
• लक्ष्य सूचना सुरक्षा प्रणाली की संरचना और कार्यक्षमता का वर्णन;
• लक्ष्य सूचना सुरक्षा प्रबंधन प्रक्रियाओं का वर्णन;
• मंच के परिणामों पर रिपोर्ट और प्रस्तुति।

चरण 4. सूचना सुरक्षा परियोजनाओं के पोर्टफोलियो का गठन। अंतिम चरण में, सूचना सुरक्षा के विकास में निवेश दक्षता की समस्या हल हो गई है। इस प्रयोजन के लिए, सूचना सुरक्षा परियोजनाओं का एक पोर्टफोलियो बनाया जा रहा है, जिसमें संभावित परियोजनाओं का मूल्यांकन और चयन, उनकी प्राथमिकताएं निर्धारित करना और उनकी व्यवहार्यता के लिए मानदंड स्थापित करना शामिल है।

पोर्टफोलियो में शामिल करने के लिए संभावित परियोजनाओं के मूल्यांकन के लिए बड़ी संख्या में तरीके हैं: आर्थिक-गणितीय, विशेषज्ञ-विश्लेषणात्मक, ग्राफिक। उनमें से, विशेषज्ञ-विश्लेषणात्मक तरीके, विशेष रूप से, कई भारित मानदंड विधि, जो मात्रात्मक और गुणात्मक दोनों मानदंडों के आधार पर मूल्यांकन करने की अनुमति देती है, परियोजनाओं को उनकी विशिष्टता को ध्यान में रखते हुए प्राथमिकता और उपयोग में आसान होने के कारण, आईटी / आईएस परियोजनाओं के संबंध में व्यापक रूप से उपयोग किया जाता है। विधि का सार प्रत्येक मानदंड के लिए एक विशिष्ट भार असाइन करना है, जो रणनीतिक लक्ष्यों को प्राप्त करने के लिए इसके महत्व के सापेक्ष निर्धारित किया जाता है। मापदंड का एक सेट और उनके विशिष्ट गुरुत्वाकर्षण प्रत्येक कंपनी के लिए अलग-अलग होते हैं और इसकी विशिष्टता और गतिविधि के पैमाने से निर्धारित होते हैं। व्यवहार में, मानदंड के समूहों का सबसे अधिक बार उपयोग किया जाता है: वित्तीय मानदंड, व्यापार मानदंड, जोखिम मानदंड। इस पद्धति का उपयोग करके मूल्यांकन प्रक्रिया सरल है और इसमें निम्नलिखित चरण शामिल हैं:

• मानदंडों और उनके विशिष्ट गुरुत्वाकर्षण के एक सेट का निर्धारण;
• मापदंड के दिए गए सेट के अनुसार प्रत्येक संभावित परियोजना का मूल्यांकन;
• प्रत्येक संभावित परियोजना के अभिन्न मूल्यांकन की गणना;
• एक एकीकृत मूल्यांकन के आधार पर संभावित परियोजनाओं की रैंकिंग।

परियोजनाओं के मूल्यांकन के बाद अगला कदम परियोजनाओं के एक इष्टतम सेट का गठन है जो कंपनी के रणनीतिक लक्ष्यों की उपलब्धि को सुनिश्चित करता है, वर्तमान प्रतिबंधों को ध्यान में रखते हुए। इस कदम पर, परियोजना के संकेतकों के बीच महत्वपूर्ण विसंगतियों की पहचान की जाती है और उनके अंतर्संबंधों को ध्यान में रखते हुए उनका सुचारू संचालन किया जाता है। एक नियम के रूप में, सबसे अच्छा समाधान खोजने में मुख्य दिशानिर्देश हैं:

• वित्तीय बाधाओं को ध्यान में रखते हुए जितनी जल्दी हो सके परियोजनाओं के कार्यान्वयन से अधिकतम प्रभाव;
• परस्पर परियोजनाओं के अनुक्रम के कार्यान्वयन का प्रभाव।

अंतिम प्रश्न जिसका उत्तर एक सूचना सुरक्षा रणनीति विकसित करते समय दिया जाना चाहिए, यह है कि इसके बाद के कार्यान्वयन की प्रक्रिया में, यह पता लगाने के लिए कि क्या हम सही दिशा में आगे बढ़ रहे हैं और हम कितने उन्नत हैं। आईएस रणनीति के कार्यान्वयन की प्रभावशीलता का आकलन करने के लिए, मैट्रिक्स का एक सेट रखा गया है। मेट्रिक्स कंपनी के लक्ष्यों के अनुरूप होना चाहिए, इसलिए मैट्रिक्स विकसित करते समय, पहले सूचना सुरक्षा प्रदान करने के वास्तविक व्यावसायिक लाभ का निर्धारण करना महत्वपूर्ण है, और फिर इस लाभ की उपलब्धि का आकलन करने के लिए उपयोग किए जाने वाले मानदंड। एक नियम के रूप में, मीट्रिक के रूप में कंपनी प्रबंधन मौद्रिक संदर्भ में संकेतक या व्यावसायिक प्रक्रियाओं पर प्रभाव की डिग्री मानता है। , .

:

• ;
• « » ;
• ;
• ;
• .

, , .

.

« », , . , , — , «». , , .

.

- — , , () . , . , , .

.

, , , . , , .

.

, . , , .

, , . , .

निष्कर्ष

, , . , , . , , — .