आईएसओ 27001 कैसे लागू करें: उपयोग के लिए निर्देश

आज, सूचना सुरक्षा (इसके बाद - आईएस) कंपनियों का मुद्दा दुनिया में सबसे अधिक प्रासंगिक है। और यह आश्चर्य की बात नहीं है, क्योंकि कई देशों में व्यक्तिगत डेटा को संग्रहीत और संसाधित करने वाले संगठनों के लिए आवश्यकताओं का कसाव है। वर्तमान में, रूसी कानून में कागजी कार्रवाई के महत्वपूर्ण हिस्से के रखरखाव की आवश्यकता होती है। इसी समय, डिजिटलीकरण की प्रवृत्ति ध्यान देने योग्य है: कई कंपनियां पहले से ही डिजिटल प्रारूप में और कागजी दस्तावेजों के रूप में गोपनीय जानकारी की एक बड़ी मात्रा को संग्रहीत करती हैं।

एंटी-मालवेयर एनालिटिकल सेंटर के एक सर्वेक्षण के अनुसार, 86% उत्तरदाताओं ने कहा कि उन्हें साइबर हमलों के बाद या साल में कम से कम एक बार स्थापित नियमों का उल्लंघन करने वाले उपयोगकर्ताओं के परिणामस्वरूप घटनाओं को हल करना था। इस संबंध में, सूचना सुरक्षा के लिए व्यापार में प्राथमिकता ध्यान एक आवश्यकता बन गई है।

वर्तमान में, कॉर्पोरेट सूचना सुरक्षा न केवल तकनीकी साधनों का एक जटिल है, जैसे एंटीवायरस या फायरवॉल, यह पहले से ही सामान्य रूप से कंपनी की संपत्ति के प्रबंधन और विशेष रूप से जानकारी के लिए एक एकीकृत दृष्टिकोण है। इन समस्याओं को हल करने के लिए कंपनियों के पास अलग-अलग दृष्टिकोण हैं। आज हम ऐसी समस्या के समाधान के रूप में अंतर्राष्ट्रीय मानक आईएसओ 27001 के कार्यान्वयन के बारे में बात करना चाहते हैं। रूसी बाजार में कंपनियों के लिए, इस तरह के प्रमाण पत्र की उपस्थिति विदेशी ग्राहकों और भागीदारों के साथ बातचीत को आसान बनाती है जिनकी इस मामले में उच्च आवश्यकताएं हैं। आईएसओ 27001 व्यापक रूप से पश्चिम में उपयोग किया जाता है और सूचना सुरक्षा के क्षेत्र में आवश्यकताओं को शामिल करता है, जिसे उपयोग किए जाने वाले तकनीकी समाधानों के साथ-साथ व्यावसायिक प्रक्रियाओं के निर्माण में मदद करना चाहिए। इस प्रकार, यह मानक आपके प्रतिस्पर्धी लाभ और विदेशी कंपनियों के साथ संपर्क का एक बिंदु बन सकता है।

सूचना सुरक्षा प्रबंधन प्रणाली (इसके बाद - आईएसएमएस) के इस प्रमाणीकरण ने आईएसएमएस को डिजाइन करने की सर्वोत्तम प्रथाओं को इकट्ठा किया है और, महत्वपूर्ण रूप से, सिस्टम के कामकाज को सुनिश्चित करने के लिए प्रबंधन उपकरण चुनने की संभावना के लिए प्रदान किया गया है, तकनीकी सुरक्षा की आवश्यकताओं और यहां तक ​​कि कंपनी में कार्मिक प्रबंधन प्रक्रिया। आखिरकार, आपको यह समझने की आवश्यकता है कि तकनीकी विफलताएं समस्या का केवल एक हिस्सा हैं। सूचना सुरक्षा के मामलों में, मानव कारक एक बड़ी भूमिका निभाता है, जिसे खत्म करना या कम करना बहुत मुश्किल है।

यदि आपकी कंपनी आईएसओ 27001 के अनुसार प्रमाणित होने जा रही है, तो आप ऐसा करने का एक आसान तरीका खोजने की कोशिश कर सकते हैं। हमें आपको निराश करना होगा: कोई आसान तरीका नहीं है। हालांकि, कुछ कदम हैं जो संगठन को अंतर्राष्ट्रीय सूचना सुरक्षा आवश्यकताओं के लिए तैयार करने में मदद करेंगे:

1. प्रबंधन का समर्थन प्राप्त करें

आप इस पर विचार कर सकते हैं, लेकिन व्यवहार में इस बिंदु को अक्सर नजरअंदाज कर दिया जाता है। इसके अलावा, यह एक मुख्य कारण है कि आईएसओ 27001 को लागू करने वाली परियोजनाएं अक्सर विफल हो जाती हैं। मानक कार्यान्वयन परियोजना के महत्व को समझने के बिना, प्रबंधन पर्याप्त मानव संसाधन या प्रमाणीकरण के लिए पर्याप्त बजट प्रदान नहीं करेगा।

2. प्रमाणन तैयारी योजना विकसित करना

आईएसओ 27001 के अनुसार प्रमाणन की तैयारी एक जटिल कार्य है जिसमें विभिन्न प्रकार के कार्य शामिल हैं, बड़ी संख्या में लोगों की भागीदारी की आवश्यकता होती है और कई महीनों (या यहां तक ​​कि वर्षों) तक रह सकती है। इसलिए, एक विस्तृत परियोजना योजना तैयार करना बहुत महत्वपूर्ण है: संसाधनों, समय और लोगों को कड़ाई से परिभाषित कार्यों को आवंटित करना और समय सीमा के अनुपालन की निगरानी करना - अन्यथा आप कभी भी नौकरी खत्म नहीं कर सकते।

3. प्रमाणन की परिधि को परिभाषित करें

यदि आपके पास विविध गतिविधियों के साथ एक बड़ा संगठन है, तो यह संभवतः आईएसओ 27001 के अनुसार कंपनी के व्यवसाय का केवल एक हिस्सा प्रमाणित करने के लिए समझ में आता है, जो आपकी परियोजना के जोखिमों को कम करेगा, साथ ही साथ इसकी समय और लागत भी।

4. एक सूचना सुरक्षा नीति विकसित करना

सबसे महत्वपूर्ण दस्तावेजों में से एक कंपनी की सूचना सुरक्षा नीति है। यह सूचना सुरक्षा के क्षेत्र में आपकी कंपनी के लक्ष्यों और सूचना सुरक्षा प्रबंधन के मूल सिद्धांतों को प्रतिबिंबित करना चाहिए, जिसे सभी कर्मचारियों द्वारा देखा जाना चाहिए। इस दस्तावेज़ का उद्देश्य यह निर्धारित करना है कि कंपनी का प्रबंधन सूचना सुरक्षा के क्षेत्र में क्या हासिल करना चाहता है, साथ ही इसे कैसे लागू और नियंत्रित किया जाएगा।

5. एक जोखिम मूल्यांकन पद्धति को परिभाषित करें

जोखिमों के आकलन और प्रबंधन के लिए नियमों को निर्धारित करना सबसे कठिन कार्यों में से एक है। यह समझना महत्वपूर्ण है कि कंपनी किन जोखिमों को अपने लिए स्वीकार्य मान सकती है, और जिनके लिए उन्हें कम करने के लिए तत्काल कार्रवाई की आवश्यकता होती है। इन नियमों के बिना, आईएसएमएस काम नहीं करेगा।
इसी समय, जोखिमों को कम करने के लिए किए गए उपायों की पर्याप्तता को याद रखना लायक है। लेकिन अनुकूलन प्रक्रिया के साथ बहुत दूर नहीं जाना चाहिए, क्योंकि वे अन्य चीजों के बीच में प्रवेश करते हैं, बड़े समय या वित्तीय लागत या बस संभव हो सकते हैं। हम अनुशंसा करते हैं कि जोखिम कम करने के उपायों को विकसित करते समय आप "न्यूनतम क्षमता" सिद्धांत का उपयोग करें।

6. अनुमोदित पद्धति के अनुसार जोखिम का प्रबंधन करें

अगला चरण जोखिम प्रबंधन पद्धति का सुसंगत अनुप्रयोग है, अर्थात् उनका मूल्यांकन और प्रसंस्करण। इस प्रक्रिया को नियमित रूप से बड़ी सावधानी से किया जाना चाहिए। आईएस के जोखिम को अप-टू-डेट रखने से, आप कंपनी के संसाधनों को कुशलतापूर्वक वितरित कर सकते हैं और गंभीर घटनाओं को रोक सकते हैं।

7. योजना जोखिम उपचार

जोखिम जो आपकी कंपनी के लिए स्वीकार्य स्तर से अधिक है उन्हें जोखिम उपचार योजना में शामिल किया जाना चाहिए। इसमें जोखिमों को कम करने के उद्देश्य से कार्रवाई होनी चाहिए, साथ ही उनके लिए जिम्मेदार और शर्तें भी होनी चाहिए।

8. प्रयोज्यता पर विनियमन भरें

यह एक महत्वपूर्ण दस्तावेज है जो ऑडिट के दौरान प्रमाणन निकाय के विशेषज्ञों द्वारा अध्ययन किया जाएगा। यह वर्णन करना चाहिए कि आपकी कंपनी की गतिविधियों पर सूचना सुरक्षा के क्षेत्र में कौन से नियंत्रण तंत्र लागू होते हैं।

9. निर्धारित करें कि आईएस नियंत्रणों की प्रभावशीलता को कैसे मापा जाएगा।

किसी भी कार्रवाई का परिणाम स्थापित लक्ष्यों की प्राप्ति के लिए होना चाहिए। इसलिए, यह स्पष्ट रूप से निर्धारित करना महत्वपूर्ण है कि लक्ष्यों की उपलब्धि को पूरे आईएस प्रबंधन प्रणाली और प्रयोज्यता परिशिष्ट से प्रत्येक चयनित नियंत्रण तंत्र के लिए दोनों मापदंडों को क्या मापा जाएगा।

10. IS प्रबंधन उपकरण लागू करें

और पिछले सभी चरणों के कार्यान्वयन के बाद ही प्रयोज्यता परिशिष्ट से लागू आईएस प्रबंधन उपकरणों के कार्यान्वयन को शुरू करना आवश्यक है। यहां सबसे बड़ी कठिनाई, निश्चित रूप से, आपके संगठन की कई प्रक्रियाओं में एक पूरी तरह से नए पाठ्यक्रम की कार्रवाई की शुरूआत होगी। लोग आमतौर पर नई नीतियों और प्रक्रियाओं का विरोध करते हैं, इसलिए अगले पैराग्राफ पर ध्यान दें।

11. कर्मचारी प्रशिक्षण कार्यक्रमों का परिचय दें

ऊपर वर्णित सभी बिंदु व्यर्थ होंगे यदि आपके कर्मचारी परियोजना के महत्व को नहीं समझते हैं और आईएस की नीतियों के अनुसार कार्य नहीं करते हैं। यदि आप चाहते हैं कि आपका कर्मचारी सभी नए नियमों का पालन करे, तो आपको सबसे पहले लोगों को यह समझाना होगा कि वे क्यों आवश्यक हैं, और फिर ISMS प्रशिक्षण का संचालन करें, जिसमें उन सभी महत्वपूर्ण नीतियों पर प्रकाश डाला गया है जो कर्मचारियों को अपने दैनिक कार्य में विचार करना चाहिए। कर्मचारी प्रशिक्षण का अभाव आईएसओ 27001 के अनुसार परियोजना की विफलता का एक सामान्य कारण है।

12. ISMS प्रक्रियाओं का समर्थन करें

इस बिंदु पर, आईएसओ 27001 आपकी दिनचर्या बन जाती है। मानक के अनुसार आईएस प्रबंधन उपकरणों के कार्यान्वयन की पुष्टि करने के लिए, लेखा परीक्षकों को रिकॉर्ड - नियंत्रण तंत्र के वास्तविक कार्य के साक्ष्य प्रदान करने की आवश्यकता होगी। लेकिन सबसे पहले और सबसे महत्वपूर्ण बात यह है कि आपको रिकॉर्ड रखने में मदद करनी चाहिए कि आपके कर्मचारी (और आपूर्तिकर्ता) अनुमोदित नियमों के अनुसार अपने कार्य करते हैं या नहीं।

13. ISMS की निगरानी करें

क्या होता है आपका ISMS? आपके पास कितनी घटनाएं हैं, वे किस तरह की घटनाएं हैं? क्या सभी प्रक्रियाओं को ठीक से निष्पादित किया जाता है? इन सवालों के साथ, आपको यह देखना चाहिए कि कंपनी अपने सूचना सुरक्षा लक्ष्यों को प्राप्त कर रही है या नहीं। यदि नहीं, तो आपको एक सुधारात्मक योजना विकसित करनी चाहिए।

14. एक ISMS आंतरिक ऑडिट का संचालन करें

आंतरिक ऑडिट का उद्देश्य कंपनी में वास्तविक प्रक्रियाओं और अनुमोदित आईएस नीतियों के बीच विसंगतियों की पहचान करना है। अधिकांश भाग के लिए, यह एक परीक्षा है कि आपके कर्मचारी नियमों का अनुपालन कैसे करते हैं। यह एक बहुत महत्वपूर्ण बिंदु है, क्योंकि यदि आप अपने कर्मचारियों के काम को नियंत्रित नहीं करते हैं, तो संगठन को नुकसान हो सकता है (जानबूझकर या अनजाने में)। लेकिन यहां कार्य अपराधियों को खोजने और नीतियों के अनुपालन न करने के लिए उन पर अनुशासनात्मक प्रतिबंध लगाने का नहीं है, बल्कि स्थिति को ठीक करने और भविष्य की समस्याओं को रोकने के लिए है।

15. प्रबंधन की समीक्षा व्यवस्थित करें

प्रबंधन को आपके फ़ायरवॉल को कॉन्फ़िगर नहीं करना चाहिए, लेकिन यह जानना चाहिए कि आईएसएमएस में क्या हो रहा है: उदाहरण के लिए, क्या वे अपनी सभी जिम्मेदारियों को पूरा कर रहे हैं या नहीं और क्या आईएसएमएस लक्ष्य परिणामों को प्राप्त करता है। इसके आधार पर, प्रबंधन को आईएसएमएस और आंतरिक व्यापार प्रक्रियाओं को बेहतर बनाने के लिए महत्वपूर्ण निर्णय लेने चाहिए।

16. सुधारात्मक और निवारक कार्यों की एक प्रणाली का परिचय दें

किसी भी मानक की तरह आईएसओ 27001 को "निरंतर सुधार" की आवश्यकता होती है: सूचना सुरक्षा प्रबंधन प्रणाली में विसंगतियों की व्यवस्थित सुधार और रोकथाम। सुधारात्मक और निवारक कार्यों की सहायता से, विसंगति को ठीक करना और भविष्य में इसकी पुनरावृत्ति को रोकना संभव है।

अंत में, मैं यह कहना चाहता हूं कि वास्तव में, विभिन्न स्रोतों में वर्णित प्रमाणन से कहीं अधिक कठिन है। पुष्टि यह तथ्य है कि रूस में आज केवल 78 कंपनियों ने अनुपालन के लिए प्रमाणीकरण पारित किया है। इसी समय, विदेश में यह सबसे लोकप्रिय मानकों में से एक है जो सूचना सुरक्षा के क्षेत्र में व्यवसाय की बढ़ती मांगों को पूरा करता है। कार्यान्वयन की इस तरह की मांग न केवल खतरों के प्रकारों की वृद्धि और जटिलता के कारण है, बल्कि कानून की आवश्यकताओं के साथ-साथ उन ग्राहकों के लिए भी है जिन्हें अपने डेटा की पूर्ण गोपनीयता बनाए रखने की आवश्यकता है।

इस तथ्य के बावजूद कि आईएसएमएस का प्रमाणन एक आसान काम नहीं है, अंतरराष्ट्रीय मानक आईएसओ / आईईसी 27001 की आवश्यकताओं को पूरा करने का तथ्य वैश्विक बाजार में एक गंभीर प्रतिस्पर्धी लाभ दे सकता है। हमें उम्मीद है कि हमारे लेख ने प्रमाणीकरण के लिए एक कंपनी तैयार करने में महत्वपूर्ण कदमों की प्रारंभिक समझ दी।