ISO/IEC 5 সার্টিফিকেশনের অনিবার্যতার 27001টি ধাপ। নেগেশান

কোম্পানির জন্য কোনো কৌশলগতভাবে গুরুত্বপূর্ণ সিদ্ধান্ত নেওয়ার সময়, কর্মচারীরা একটি মৌলিক প্রতিরক্ষা ব্যবস্থার মধ্য দিয়ে যায়, যা পরিবর্তনের প্রতিক্রিয়ার 5টি পর্যায় হিসাবে পরিচিত (E. Kübler-Ross দ্বারা)। একজন প্রখ্যাত মনোবিজ্ঞানী একবার সংবেদনশীল প্রতিক্রিয়ার বর্ণনা দিয়েছিলেন, মানসিক প্রতিক্রিয়ার 5টি মূল পর্যায়কে হাইলাইট করেছেন: অস্বীকার, ক্রোধ, দর কষাকষি, বিষণ্নতা এবং অবশেষে গ্রহণ. আমরা ISO 27001 সার্টিফিকেশনের জন্য নিবেদিত নিবন্ধগুলির একটি সিরিজ প্রস্তুত করেছি, যেখানে আমরা প্রতিটি ধাপের দিকে নজর দেব। আজ আমরা তাদের প্রথম সম্পর্কে কথা বলব - অস্বীকার.

"শোর জন্য" একটি ISO 27001 শংসাপত্র প্রাপ্ত করা একটি খুব সন্দেহজনক আনন্দ, কারণ এটির জন্য দীর্ঘ এবং ব্যয়বহুল প্রস্তুতির প্রয়োজন৷ তাছাড়া, এটি দেখায় হিসাবে পরিসংখ্যান, এই মানটি রাশিয়ান ফেডারেশনে অত্যন্ত অজনপ্রিয়: আজ অবধি, শুধুমাত্র 70টি কোম্পানি সম্মতির জন্য প্রত্যয়িত হয়েছে। একই সময়ে, এটি তথ্য নিরাপত্তার ক্ষেত্রে ব্যবসার ক্রমবর্ধমান চাহিদা পূরণ করে বিদেশের অন্যতম জনপ্রিয় মান।

আমাদের কোম্পানি অ্যাকাউন্টিং ফাংশনগুলির জন্য আউটসোর্সিং পরিষেবাগুলির একটি সম্পূর্ণ পরিসীমা প্রদান করে: অ্যাকাউন্টিং এবং ট্যাক্স অ্যাকাউন্টিং, বেতন এবং কর্মী প্রশাসন। আমরা একটি শীর্ষস্থানীয় বাজারের অবস্থান দখল করি, বিশেষত এই কারণে যে বিদেশী সংস্থাগুলি রাশিয়ায় শাখা সহ তাদের গোপনীয় তথ্যের সাথে আমাদের বিশ্বাস করে৷ এটি শুধুমাত্র আমাদের ক্লায়েন্টদের আর্থিক প্রক্রিয়ার ক্ষেত্রেই প্রযোজ্য নয়, আমরা দৈনন্দিন ভিত্তিতে যে ব্যক্তিগত ডেটা নিয়ে কাজ করি তার জন্যও। এক্ষেত্রে তথ্য নিরাপত্তার বিষয়টি আমাদের অগ্রাধিকারের একটি।

প্রায়শই, রাশিয়ান বিভাগের সমস্ত ব্যবসায়িক প্রক্রিয়াগুলি বিদেশী সংস্থাগুলির প্রধান কার্যালয় দ্বারা নিয়ন্ত্রিত এবং ঘোষণা করা হয় এবং সেইজন্য তাদের অবশ্যই অভ্যন্তরীণ গ্রুপ-ব্যাপী মানগুলি মেনে চলতে হবে। সম্প্রতি, আমাদের কিছু মূল ক্লায়েন্ট তাদের নিরাপত্তা নীতিগুলিকে কঠোর করার জন্য সংশোধন করতে শুরু করেছে৷ অবশ্যই, এটি সাইবার আক্রমণের ক্রমবর্ধমান সংখ্যার বৈশ্বিক প্রবণতার কারণে এবং তথ্য সুরক্ষা লঙ্ঘনের ঘটনাগুলির সাথে সম্পর্কিত ক্ষতি৷ যদি কোম্পানির তথ্য সুরক্ষা বাড়ানোর লক্ষ্যে সুরক্ষা ব্যবস্থা, নীতি এবং পদ্ধতিগুলি বাস্তবায়নের প্রয়োজন হয় তবে আপনি ISO ছাড়া করতে পারেন৷ /IEC 27001 সার্টিফিকেশন, যার ফলে প্রচুর অর্থ, সময় এবং স্নায়ু সাশ্রয় হয়।

আজ, কোম্পানির বিদ্যমান তথ্য সুরক্ষার প্রয়োজনীয়তাগুলি বিদেশী গ্রাহকদের কাছ থেকে টেন্ডারগুলিতে উপস্থিত হতে শুরু করেছে। কিছু, তাদের যাচাইকরণকে সহজ করার জন্য এবং পদ্ধতিকে একীভূত করার জন্য, একটি বাধ্যতামূলক মূল্যায়নের মানদণ্ড সেট করে - ISO/IEC 27001 সার্টিফিকেশনের উপস্থিতি।

আমরা যা দেখেছি তা এখানে: এই স্ট্যান্ডার্ডে প্রত্যয়িত আমাদের মূল আন্তর্জাতিক ক্লায়েন্টদের মধ্যে একজন তার বিশ্বব্যাপী তথ্য সুরক্ষা দলকে উল্লেখযোগ্যভাবে শক্তিশালী করেছে বলে মনে হচ্ছে। আমরা এই সম্পর্কে কিভাবে জানলাম? তারা আমাদের তথ্য নিরাপত্তা ব্যবস্থাপনা সিস্টেমের অডিট করার সিদ্ধান্ত নিয়েছে, কারণ আমরা তাদের অ্যাকাউন্টিং পরিষেবা এবং কর্মী প্রশাসন প্রদান করি - এবং সেই অনুযায়ী, আমাদের তথ্য ব্যবস্থার নিরাপত্তা তাদের জন্য অত্যন্ত গুরুত্বপূর্ণ। আগের অডিটটি 3 বছর আগে হয়েছিল - সেই সময় সবকিছু বেশ বেদনাদায়ক ছিল।

এই সময়, ভারতীয়দের একটি বন্ধুত্বপূর্ণ দল আমাদের আক্রমণ করেছিল, আমাদের নিরাপত্তা ব্যবস্থাপনা ব্যবস্থার কয়েক ডজন ত্রুটিগুলি কৌশলের সাথে উন্মোচন করেছিল। নিরীক্ষা প্রক্রিয়াটি সামসারের চাকার সাথে সাদৃশ্যপূর্ণ - দেখে মনে হয়েছিল যে নীতিগতভাবে তাদের অডিটের অংশ হিসাবে কোনও চূড়ান্ত পয়েন্টে পৌঁছানোর কোনও লক্ষ্য ছিল না। এটি ছিল প্রশ্ন, মন্তব্য, আমাদের মন্তব্য এবং তাদের বাস্তবতার প্রমাণ, কনফারেন্স কল এবং ক্লায়েন্টের আইটি নিরাপত্তা দলের উচ্চারণ চিনতে প্রয়াসে দীর্ঘ দার্শনিক কথোপকথনের একটি অবিরাম স্ট্রিং। যাইহোক, অডিট আজ অবধি বিভিন্ন মাত্রার তীব্রতার সাথে চলতে থাকে - সময়ের সাথে সাথে, আমরা এর সাথে শর্তে এসেছি। সুতরাং, শংসাপত্রের প্রয়োজনীয়তা নিজেই দেখা দিয়েছে।

হয়তো আমরা ISO 9001 দিয়ে করতে পারি?

প্রত্যেকেই যারা ISO মানের যেকোনো একটি অনুযায়ী সার্টিফিকেশন ইস্যুতে কম-বেশি সচেতন তারা বোঝেন যে তাদের প্রত্যেকের ভিত্তি হল ISO 9001 "গুণমান ব্যবস্থাপনা সিস্টেম" শংসাপত্র। ISO মানগুলির সম্পূর্ণ লাইনে এটি সম্ভবত সবচেয়ে জনপ্রিয় শংসাপত্র। আমাদের কাছে এটি ছিল না - এবং আমরা এটি না পাওয়ার সিদ্ধান্ত নিয়েছি। এর জন্য বেশ কয়েকটি কারণ ছিল:

• এই শংসাপত্র থাকার কোম্পানির অর্থনৈতিক দক্ষতা প্রশ্নবিদ্ধ;
• আমাদের অভ্যন্তরীণ প্রক্রিয়াগুলি, বেশিরভাগ অংশের জন্য, ইতিমধ্যে এই মানের কাছাকাছি ছিল;
• এই শংসাপত্র প্রাপ্তির জন্য অতিরিক্ত সময় এবং অর্থের প্রয়োজন হবে।

তদনুসারে, আমরা "লাইটার" 27001 দিয়ে শুরু না করে অবিলম্বে ISO 9001 বাস্তবায়ন করার সিদ্ধান্ত নিয়েছি।

বা সম্ভবত এটি এখনও প্রয়োজনীয় নয়?

সামনের দিকে তাকিয়ে, আমরা এটি প্রাপ্ত করা বাঞ্ছনীয় কিনা সেই প্রশ্নে বহুবার ফিরে এসেছি। আমরা সমস্ত দিক থেকে সমস্যাটি অধ্যয়ন করতে শুরু করেছি, কারণ আমাদের একেবারেই কোনও দক্ষতা ছিল না। এবং এখানে সেই ভুল ধারণাগুলি রয়েছে যা আমাদের এই বিষয়টি নিয়ে আবার ভাবতে বাধ্য করেছে।

ভুল ধারণা # 1।
আমরা আশা করেছিলাম যে মানটি আমাদের একটি বিশদ চেকলিস্ট, নীতিগুলির একটি তালিকা এবং অন্যান্য বিধিবদ্ধ নথি প্রদান করবে। বাস্তবে, এটি প্রমাণিত হয়েছে যে ISO/IEC 27001 হল তথ্য সুরক্ষা ব্যবস্থাপনা সিস্টেমের জন্য প্রয়োজনীয়তার একটি সেট এবং প্রক্রিয়াটি তৈরি করা হচ্ছে। তাদের উপর ভিত্তি করে, স্ট্যান্ডার্ডের প্রয়োজনীয়তাগুলি মেনে চলার জন্য আমাদের কোম্পানিতে কী লিখতে/বাস্তবায়ন করতে হবে তা স্বাধীনভাবে সিদ্ধান্ত নেওয়া প্রয়োজন ছিল।

ভুল ধারণা # 2।
আমরা আন্তরিকভাবে বিশ্বাস করেছিলাম যে আমাদের পক্ষে একটি নথি অধ্যয়ন করা এবং তুলনামূলকভাবে স্বল্প সময়ের মধ্যে নিজেরাই এটি বাস্তবায়ন করা যথেষ্ট। বাস্তবে, দস্তাবেজটি পড়ার সময়, আমরা বুঝতে পেরেছিলাম যে আমাদের স্ট্যান্ডার্ড কতগুলি সম্পর্কিত মানগুলিকে "আঁকড়ে আছে", কতগুলি মানগুলির সাথে আমাদের পরিচিত হতে হবে (অন্তত উপরিভাগে)। কেকের "চেরি" ছিল পাবলিক ডোমেনে বর্তমান স্ট্যান্ডার্ড পাঠ্যের অভাব - সেগুলি অফিসিয়াল ISO ওয়েবসাইটে কিনতে হয়েছিল।

ভুল ধারণা # 3।
আমরা আত্মবিশ্বাসী ছিলাম যে আমরা উন্মুক্ত উত্সগুলিতে শংসাপত্রের জন্য প্রস্তুত করার জন্য প্রয়োজনীয় সমস্ত কিছু খুঁজে পাব। ইন্টারনেটে আইএসও 27001-এ প্রকৃতপক্ষে প্রচুর পরিমাণে উপকরণ ছিল, তবে সেগুলির নির্দিষ্টতার অভাব ছিল। শংসাপত্রের জন্য প্রস্তুতির জন্য কার্যত সহজে বোঝার মতো কোন ধাপে ধাপে নির্দেশাবলী ছিল না, সেইসাথে এই স্ট্যান্ডার্ডটি বাস্তবায়ন করেছে এমন কোম্পানিগুলির বাস্তব ক্ষেত্রে।

ভুল ধারণা # 4।
আমরা নীতিমালা লিখব, কিন্তু কাজ হবে না! ঠিক আছে, এটা সত্য, আমাদের কোম্পানির ইতিমধ্যেই অনেক বেশি নিয়ম রয়েছে, কেউ আরও 3 ডজন নতুন নীতি মেনে চলবে না। বাস্তবে, সৌভাগ্যবশত, আমাদের কর্মীরা দায়িত্বের সাথে নতুন নিয়মগুলি আয়ত্ত করার কাজটি গ্রহণ করেছে এবং তথ্য সুরক্ষা ব্যবস্থাপনা সিস্টেম নথির জ্ঞানের জন্য পরীক্ষায় সফলভাবে উত্তীর্ণ হয়েছে।

ভুল ধারণা # 5।
সেই সময়ে, আমরা আমাদের প্রচেষ্টা থেকে কী সুবিধা পাব তা স্পষ্টভাবে মূল্যায়ন করতে পারিনি। সেই সময়ে, এই শংসাপত্রের জন্য অনুরোধের সংখ্যা এত বেশি ছিল না, এবং আমাদের কাছে আমাদের মূল এবং সবচেয়ে চাহিদাপূর্ণ ক্লায়েন্ট ছিল শংসাপত্রের অনেক আগে। অভিজ্ঞতা দেখায় যে আমরা একটি মান ছাড়া পরিচালিত.

কিছু সময়ে, আমরা বুঝতে পেরেছিলাম যে ক্লায়েন্টের প্রয়োজনীয়তার কারণে আমরা বিশৃঙ্খলভাবে এক বা অন্য উদীয়মান ফাঁক বন্ধ করছি। প্রতিবার আমরা কিছু নতুন নীতি বা সমাধান নিয়ে এসেছি। এবং আমরা অবশেষে স্বাধীনভাবে এই সিদ্ধান্তে পৌঁছেছি যে প্রক্রিয়াটি পদ্ধতিগত করা অনেক সহজ হবে, যা ভবিষ্যতে আমাদের অনেক শ্রম খরচও বাঁচাতে পারবে। স্ট্যান্ডার্ডটি এই কাজটিকে সহজ করার উদ্দেশ্যে ছিল।

এখন, দুই বছর পরে, আমরা বড় আন্তর্জাতিক ক্লায়েন্টদের কাছ থেকে এই বিষয়ে অনুরোধ এবং আগ্রহের সংখ্যা বৃদ্ধির প্রবণতা দেখতে পাচ্ছি।

চূড়ান্ত সিদ্ধান্ত.

উপসংহারে, আমরা বলতে চাই যে আমাদের শিল্পের নেতারা ISO/IEC 27001 সার্টিফিকেশন পেয়েছেন, যা অন্যান্য সমস্ত প্রধান প্রদানকারীকে (আমাদের সহ) এই সমস্যাটি নিয়ে ভাবতে বাধ্য করেছে৷ নিঃসন্দেহে, কোম্পানির বিপণন উপকরণগুলিতে একটি সুন্দর লাইন - ওয়েবসাইটে, সামাজিক নেটওয়ার্কগুলিতে, বিজ্ঞাপনের ব্রোশিওরে ইত্যাদি। - একটি মনোরম বোনাস হিসাবে বিবেচনা করা যেতে পারে, কিন্তু এটির জন্য এত সম্পদ ব্যয় করা কি মূল্যবান? আমরা নিজেদের জন্য সিদ্ধান্ত নিয়েছি যে আমাদের জন্য এটি একটি সুন্দর লাইনের চেয়েও বেশি কিছু, এবং আমরা এই প্রকল্পে জড়িত হয়েছি।

উত্স: www.habr.com