ISO/IEC 5 সার্টিফিকেশনের অনিবার্যতার 27001টি ধাপ। বিষণ্ণতা

পরিবর্তনের জন্য সংবেদনশীল প্রতিক্রিয়ার চতুর্থ পর্যায় হল বিষণ্নতা। এই নিবন্ধে আমরা আপনাকে সবচেয়ে দীর্ঘ এবং অপ্রীতিকর পর্যায়ে যাওয়ার আমাদের অভিজ্ঞতা সম্পর্কে বলব - ISO 27001 স্ট্যান্ডার্ডের সাথে তাদের সম্মতি অর্জনের জন্য কোম্পানির ব্যবসায়িক প্রক্রিয়াগুলির পরিবর্তন সম্পর্কে।

প্রত্যাশা

প্রত্যয়নকারী সংস্থা এবং পরামর্শদাতা নির্বাচন করার পরে আমরা নিজেদেরকে প্রথম যে প্রশ্নটি জিজ্ঞাসা করেছি তা হল সমস্ত প্রয়োজনীয় পরিবর্তন করতে আমাদের কতটা সময় লাগবে?

প্রাথমিক কাজের পরিকল্পনাটি এমনভাবে নির্ধারিত হয়েছিল যে আমাদের এটি 3 মাসের মধ্যে শেষ করতে হবে।

সবকিছু সহজ লাগছিল: কয়েক ডজন নীতি লিখতে এবং আমাদের অভ্যন্তরীণ প্রক্রিয়াগুলিকে সামান্য পরিবর্তন করতে হবে; তারপরে সহকর্মীদের পরিবর্তনগুলি সম্পর্কে প্রশিক্ষণ দিন এবং আরও 3 মাস অপেক্ষা করুন (যাতে "রেকর্ডগুলি" উপস্থিত হয়, অর্থাৎ নীতিগুলির কার্যকারিতার প্রমাণ)। দেখে মনে হয়েছিল যে এটিই ছিল - এবং শংসাপত্রটি আমাদের পকেটে ছিল।

তদতিরিক্ত, আমরা স্ক্র্যাচ থেকে নীতিগুলি লিখতে যাচ্ছিলাম না - সর্বোপরি, আমাদের একজন পরামর্শদাতা ছিলেন, যিনি আমরা ভেবেছিলাম, আমাদের সমস্ত "সঠিক" টেমপ্লেট দেওয়ার কথা ছিল।

এই উপসংহারের ফলস্বরূপ, আমরা প্রতিটি নীতি প্রস্তুত করার জন্য 3 দিন বরাদ্দ করেছি।

প্রযুক্তিগত পরিবর্তনগুলিও ভয়ঙ্কর বলে মনে হয়নি: ইভেন্টগুলির সংগ্রহ এবং সঞ্চয়স্থান সেট আপ করা, ব্যাকআপগুলি আমরা যে নীতি লিখেছি তা মেনে চলছে কিনা তা পরীক্ষা করা, যেখানে প্রয়োজন সেখানে অ্যাক্সেস কন্ট্রোল সিস্টেম সহ অফিসগুলিকে পুনরুদ্ধার করা এবং আরও কয়েকটি ছোট জিনিস করা প্রয়োজন ছিল। .
শংসাপত্রের জন্য প্রয়োজনীয় সবকিছু প্রস্তুতকারী দলটিতে দুজন লোক ছিল। আমরা পরিকল্পনা করেছিলাম যে তারা তাদের প্রধান দায়িত্বের সাথে সমান্তরালভাবে বাস্তবায়নে জড়িত থাকবে এবং এটি তাদের প্রত্যেককে দিনে সর্বোচ্চ 1,5-2 ঘন্টা সময় নেবে।
সংক্ষেপে, আমরা বলতে পারি যে কাজের আসন্ন পরিধি সম্পর্কে আমাদের দৃষ্টিভঙ্গি বেশ আশাবাদী ছিল।

বাস্তবতা

বাস্তবে, সবকিছু স্বাভাবিকভাবেই ভিন্ন ছিল: পরামর্শদাতা দ্বারা প্রদত্ত নীতি টেমপ্লেটগুলি বেশিরভাগই আমাদের কোম্পানির জন্য অপ্রযোজ্য বলে প্রমাণিত হয়েছিল; কী এবং কীভাবে করতে হবে সে সম্পর্কে ইন্টারনেটে প্রায় কোনও স্পষ্ট তথ্য ছিল না। আপনি যেমন কল্পনা করতে পারেন, "3 দিনে একটি নীতি লিখতে" পরিকল্পনাটি খারাপভাবে ব্যর্থ হয়েছে। তাই আমরা প্রায় প্রকল্পের শুরু থেকেই সময়সীমা পূরণ করা বন্ধ করে দিয়েছিলাম এবং আমাদের মেজাজ ধীরে ধীরে পড়তে শুরু করে।

দলের দক্ষতা বিপর্যয়মূলকভাবে ছোট ছিল - এতটাই যে পরামর্শদাতাকে সঠিক প্রশ্ন জিজ্ঞাসা করা যথেষ্ট ছিল না (যারা, যাইহোক, খুব বেশি উদ্যোগ দেখাননি)। জিনিসগুলি আরও ধীরে ধীরে চলতে শুরু করে, যেহেতু বাস্তবায়ন শুরু হওয়ার 3 মাস পরে (অর্থাৎ, এই মুহুর্তে যখন সবকিছু প্রস্তুত হওয়া উচিত ছিল), দুটি মূল অংশগ্রহণকারীর একজন দল ছেড়ে চলে গেছে। তাকে আইটি পরিষেবার একজন নতুন প্রধান দ্বারা প্রতিস্থাপিত করা হয়েছিল, যাকে দ্রুত বাস্তবায়ন প্রক্রিয়াটি সম্পূর্ণ করতে হয়েছিল এবং প্রযুক্তিগত দৃষ্টিকোণ থেকে সবচেয়ে প্রয়োজনীয় সবকিছু দিয়ে তথ্য সুরক্ষা ব্যবস্থাপনা সিস্টেম সরবরাহ করতে হয়েছিল। কাজটি কঠিন লাগছিল... যারা দায়িত্বে ছিলেন তারা বিষণ্ণ হতে শুরু করেন।

এছাড়াও, ইস্যুটির প্রযুক্তিগত দিকটিতেও "সূক্ষ্মতা" রয়েছে। ওয়ার্কস্টেশন এবং সার্ভার সরঞ্জাম উভয় ক্ষেত্রেই আমরা বিশ্বব্যাপী সফ্টওয়্যার আধুনিকীকরণের কাজটির মুখোমুখি হয়েছি। ইভেন্ট (লগ) সংগ্রহ করার জন্য সিস্টেম সেট আপ করার সময়, এটি দেখা গেল যে সিস্টেমের স্বাভাবিক কার্যকারিতার জন্য আমাদের কাছে পর্যাপ্ত হার্ডওয়্যার সংস্থান নেই। আর ব্যাকআপ সফটওয়্যারটিরও আধুনিকায়নের প্রয়োজন ছিল।

স্পয়লার: ফলস্বরূপ, 6 মাসে ISMS বীরত্বপূর্ণভাবে বাস্তবায়িত হয়েছিল। আর কেউ মারাও গেল না!

সবচেয়ে কি পরিবর্তন হয়েছে?

অবশ্যই, স্ট্যান্ডার্ড বাস্তবায়নের সময়, কোম্পানির প্রক্রিয়াগুলিতে একটি বড় সংখ্যক ছোট পরিবর্তন ঘটেছে। আমরা আপনার জন্য সবচেয়ে উল্লেখযোগ্য পরিবর্তনগুলি হাইলাইট করেছি:

• ঝুঁকি মূল্যায়ন প্রক্রিয়ার আনুষ্ঠানিককরণ

পূর্বে, কোম্পানির কোন আনুষ্ঠানিক ঝুঁকি মূল্যায়ন প্রক্রিয়া ছিল না - এটি শুধুমাত্র সামগ্রিক কৌশলগত পরিকল্পনার অংশ হিসাবে পাস করা হয়েছিল। শংসাপত্রের অংশ হিসাবে সমাধান করা সবচেয়ে গুরুত্বপূর্ণ কাজগুলির মধ্যে একটি ছিল কোম্পানির ঝুঁকি মূল্যায়ন নীতির বাস্তবায়ন, যা এই প্রক্রিয়ার সমস্ত পর্যায় এবং প্রতিটি পর্যায়ের জন্য দায়ী ব্যক্তিদের বর্ণনা করে।

• অপসারণযোগ্য স্টোরেজ মিডিয়ার উপর নিয়ন্ত্রণ

ব্যবসার জন্য উল্লেখযোগ্য ঝুঁকিগুলির মধ্যে একটি ছিল এনক্রিপ্ট করা ইউএসবি ফ্ল্যাশ ড্রাইভের ব্যবহার: আসলে, যে কোনও কর্মচারী ফ্ল্যাশ ড্রাইভে তার কাছে উপলব্ধ যে কোনও তথ্য লিখতে পারে এবং সর্বোপরি, এটি হারাতে পারে। শংসাপত্রের অংশ হিসাবে, সমস্ত কর্মচারী ওয়ার্কস্টেশনে ফ্ল্যাশ ড্রাইভে যে কোনও তথ্য ডাউনলোড করার ক্ষমতা অক্ষম করা হয়েছিল - তথ্য রেকর্ডিং শুধুমাত্র আইটি বিভাগে একটি আবেদনের মাধ্যমে সম্ভব হয়েছিল।

• সুপার ইউজার কন্ট্রোল

প্রধান সমস্যাগুলির মধ্যে একটি হল যে সমস্ত আইটি বিভাগের কর্মচারীদের সমস্ত কোম্পানির সিস্টেমে নিরঙ্কুশ অধিকার ছিল - তাদের সমস্ত তথ্য অ্যাক্সেস ছিল। একই সময়ে, কেউ তাদের নিয়ন্ত্রণ করেনি।

আমরা একটি ডেটা লস প্রিভেনশন (DLP) সিস্টেম প্রয়োগ করেছি - কর্মীদের ক্রিয়াকলাপ নিরীক্ষণের জন্য একটি প্রোগ্রাম যা বিপজ্জনক এবং অনুৎপাদনশীল ক্রিয়াকলাপগুলি সম্পর্কে বিশ্লেষণ, ব্লক এবং সতর্কতা দেয়৷ এখন আইটি বিভাগের কর্মচারীদের কর্ম সম্পর্কে সতর্কতা কোম্পানির অপারেশন ডিরেক্টরের ইমেল ঠিকানায় পাঠানো হয়।

• তথ্য পরিকাঠামো সংগঠিত করার পদ্ধতি

সার্টিফিকেশন প্রয়োজন বিশ্বব্যাপী পরিবর্তন এবং পদ্ধতির. হ্যাঁ, বর্ধিত লোডের কারণে আমাদের বেশ কয়েকটি সার্ভার সরঞ্জাম আপগ্রেড করতে হয়েছিল। বিশেষ করে, আমরা ইভেন্ট সংগ্রহ সিস্টেমের জন্য একটি পৃথক সার্ভার উৎসর্গ করেছি। সার্ভারটি বড় এবং দ্রুত SSD ড্রাইভ দিয়ে সজ্জিত ছিল। আমরা ব্যাকআপ সফ্টওয়্যার পরিত্যাগ করেছি এবং বাক্সের বাইরে সমস্ত প্রয়োজনীয় কার্যকারিতা রয়েছে এমন স্টোরেজ সিস্টেম বেছে নিয়েছি। আমরা "কোড হিসাবে অবকাঠামো" ধারণার দিকে বেশ কয়েকটি বড় পদক্ষেপ নিয়েছি, যা আমাদের অনেকগুলি সার্ভারের ব্যাকআপ বাদ দিয়ে প্রচুর ডিস্ক স্থান সংরক্ষণ করতে দেয়। স্বল্পতম সময়ের মধ্যে (1 সপ্তাহ), ওয়ার্কস্টেশনের সমস্ত সফ্টওয়্যার Win10 এ আপগ্রেড করা হয়েছিল। আধুনিকীকরণের মাধ্যমে সমাধান করা সমস্যাগুলির মধ্যে একটি হল এনক্রিপশন সক্ষম করার ক্ষমতা (প্রো সংস্করণে)।

• কাগজের নথির উপর নিয়ন্ত্রণ

কাগজের নথি ব্যবহারের সাথে কোম্পানির উল্লেখযোগ্য ঝুঁকি ছিল: সেগুলি হারিয়ে যেতে পারে, ভুল জায়গায় ফেলে যেতে পারে বা ভুলভাবে ধ্বংস হতে পারে। এই ঝুঁকি কমানোর জন্য, আমরা গোপনীয়তার স্তর অনুসারে সমস্ত কাগজের নথি চিহ্নিত করেছি এবং বিভিন্ন ধরনের নথি ধ্বংস করার জন্য একটি পদ্ধতি তৈরি করেছি। এখন, যখন একজন কর্মচারী একটি ফোল্ডার খোলেন বা একটি নথি নেন, তখন তিনি জানেন যে এই তথ্যটি কোন বিভাগে পড়ে এবং কীভাবে এটি পরিচালনা করতে হয়।

• একটি ব্যাকআপ ডেটা সেন্টার ভাড়া

পূর্বে, সমস্ত কোম্পানির তথ্য তৃতীয় পক্ষের সুরক্ষিত ডেটা সেন্টারে অবস্থিত সার্ভারে সংরক্ষণ করা হত। যাইহোক, এই ডেটা সেন্টারে কোন জরুরী প্রক্রিয়া ছিল না। সমাধানটি ছিল একটি ব্যাকআপ ক্লাউড ডেটা সেন্টার ভাড়া করা এবং সেখানে সবচেয়ে গুরুত্বপূর্ণ তথ্য ব্যাক আপ করা। বর্তমানে, কোম্পানির তথ্য দুটি ভৌগলিকভাবে দূরবর্তী ডেটা সেন্টারে সংরক্ষণ করা হয়, যা এর ক্ষতির ঝুঁকি কমিয়ে দেয়।

• ব্যবসা ধারাবাহিকতা পরীক্ষা

আমাদের কোম্পানির বেশ কয়েক বছর ধরে একটি ব্যবসায়িক ধারাবাহিকতা নীতি (BCP) রয়েছে, যা বিভিন্ন নেতিবাচক পরিস্থিতিতে (অফিসে অ্যাক্সেস হারানো, মহামারী, বিদ্যুৎ বিভ্রাট ইত্যাদি) কর্মীদের কী করা উচিত তা বর্ণনা করে। যাইহোক, আমরা কখনই ধারাবাহিকতা পরীক্ষা করিনি - অর্থাৎ, এই প্রতিটি পরিস্থিতিতে ব্যবসা পুনরুদ্ধার করতে কত সময় লাগবে তা আমরা কখনও পরিমাপ করিনি। সার্টিফিকেশন অডিটের প্রস্তুতিতে, আমরা কেবল এটিই করিনি, তবে আগামী বছরের জন্য একটি ব্যবসায়িক ধারাবাহিকতা পরীক্ষার পরিকল্পনাও তৈরি করেছি। এটি লক্ষণীয় যে এক বছর পরে, যখন আমরা সম্পূর্ণরূপে দূরবর্তী কাজে স্যুইচ করার প্রয়োজনের মুখোমুখি হয়েছিলাম, আমরা এই কাজটি তিন দিনের মধ্যে সম্পন্ন করেছি।

এটি লক্ষ করা গুরুত্বপূর্ণ, যে সমস্ত কোম্পানি সার্টিফিকেশনের জন্য প্রস্তুতি নিচ্ছে তাদের শুরুর বিভিন্ন শর্ত রয়েছে - তাই, আপনার ক্ষেত্রে সম্পূর্ণ ভিন্ন পরিবর্তনের প্রয়োজন হতে পারে।

পরিবর্তনের জন্য কর্মচারীর প্রতিক্রিয়া

অদ্ভুতভাবে যথেষ্ট - এখানে আমরা সবচেয়ে খারাপটি আশা করেছি - এটি এত খারাপ নয়। এটা বলা যায় না যে সহকর্মীরা খুব উত্সাহের সাথে সার্টিফিকেশনের খবর পেয়েছিলেন, তবে নিম্নলিখিতটি পরিষ্কার ছিল:

• সমস্ত মূল কর্মচারী এই ইভেন্টের গুরুত্ব এবং অনিবার্যতা বুঝতে পেরেছিলেন;
• অন্যান্য সমস্ত কর্মচারী মূল কর্মচারীদের দিকে তাকান।

অবশ্যই, আমাদের শিল্পের বিশেষত্ব আমাদের অনেক সাহায্য করেছে - অ্যাকাউন্টিং ফাংশন আউটসোর্সিং। আমাদের কর্মচারীদের বিশাল সংখ্যাগরিষ্ঠ রাশিয়ান আইনে ক্রমাগত পরিবর্তনের সাথে ভালভাবে মোকাবিলা করে। তদনুসারে, কয়েক ডজন নতুন নিয়মের প্রবর্তন যা এখন অবশ্যই পালন করা উচিত তাদের জন্য সাধারণ কিছু ছিল না।

আমরা আমাদের সকল কর্মীদের জন্য নতুন বাধ্যতামূলক ISO 27001 প্রশিক্ষণ এবং পরীক্ষা প্রস্তুত করেছি। প্রত্যেকে বাধ্যতার সাথে তাদের মনিটর থেকে পাসওয়ার্ড সহ স্টিকি নোটগুলি সরিয়ে ফেলল এবং ডকুমেন্টে জমে থাকা ডেস্কগুলি সাফ করে দিল। কোন উচ্চস্বরে অসন্তুষ্টি লক্ষ্য করা যায়নি - সাধারণভাবে, আমরা আমাদের কর্মীদের সাথে খুব ভাগ্যবান ছিলাম।

এইভাবে, আমরা সবচেয়ে বেদনাদায়ক পর্যায় অতিক্রম করেছি - "বিষণ্নতা" - আমাদের ব্যবসায়িক প্রক্রিয়ার পরিবর্তনের সাথে যুক্ত। এটা কঠিন এবং কঠিন ছিল, কিন্তু শেষ পর্যন্ত ফলাফল আমাদের সব বন্য প্রত্যাশা অতিক্রম করেছে.

সিরিজ থেকে পূর্ববর্তী উপকরণ পড়ুন:

ISO/IEC 5 সার্টিফিকেশনের অনিবার্যতার 27001টি ধাপ। অস্বীকার: ISO 27001:2013 সার্টিফিকেশন সম্পর্কে ভুল ধারণা, একটি শংসাপত্র প্রাপ্তির পরামর্শ।

ISO/IEC 5 সার্টিফিকেশনের অনিবার্যতার 27001টি ধাপ। রাগ: কোথা থেকে শুরু করব? প্রাথমিক তথ্য। খরচ. একটি প্রদানকারী নির্বাচন.

ISO/IEC 5 সার্টিফিকেশনের অনিবার্যতার 27001টি ধাপ। দর কষাকষি: একটি বাস্তবায়ন পরিকল্পনা প্রস্তুত করা, ঝুঁকি মূল্যায়ন, নীতিমালা লেখা।

ISO/IEC 5 সার্টিফিকেশনের অনিবার্যতার 27001টি ধাপ। বিষণ্ণতা.

ISO/IEC 5 সার্টিফিকেশনের অনিবার্যতার 27001টি ধাপ। দত্তক।

উত্স: www.habr.com