কিভাবে ISO 27001 বাস্তবায়ন করবেন: ব্যবহারের জন্য নির্দেশাবলী

আজ, সংস্থাগুলির তথ্য সুরক্ষার বিষয়টি (এখন থেকে তথ্য সুরক্ষা হিসাবে উল্লেখ করা হয়েছে) বিশ্বের অন্যতম চাপ। এবং এটি আশ্চর্যজনক নয়, কারণ অনেক দেশে ব্যক্তিগত ডেটা সংরক্ষণ এবং প্রক্রিয়াজাতকারী সংস্থাগুলির জন্য প্রয়োজনীয়তা কঠোর করা হয়েছে। বর্তমানে, রাশিয়ান আইন কাগজ আকারে নথি প্রবাহের একটি উল্লেখযোগ্য অনুপাত বজায় রাখা প্রয়োজন। একই সময়ে, ডিজিটালাইজেশনের দিকে প্রবণতা লক্ষণীয়: অনেক কোম্পানি ইতিমধ্যেই ডিজিটাল ফরম্যাটে এবং কাগজের নথির আকারে প্রচুর পরিমাণে গোপনীয় তথ্য সংরক্ষণ করে।

ফলাফল অনুযায়ী জরিপ অ্যান্টি-ম্যালওয়্যার অ্যানালিটিকাল সেন্টার, 86% উত্তরদাতা উল্লেখ করেছেন যে বছরে তাদের অন্তত একবার সাইবার আক্রমণের পরে বা ব্যবহারকারীর প্রতিষ্ঠিত নিয়ম লঙ্ঘনের ফলে ঘটনাগুলি সমাধান করতে হয়েছিল। এ ক্ষেত্রে ব্যবসায় তথ্য নিরাপত্তাকে অগ্রাধিকার দেওয়া অপরিহার্য হয়ে পড়েছে।

বর্তমানে, কর্পোরেট তথ্য সুরক্ষা শুধুমাত্র প্রযুক্তিগত উপায়গুলির একটি সেট নয়, যেমন অ্যান্টিভাইরাস বা ফায়ারওয়াল, এটি ইতিমধ্যেই সাধারণভাবে কোম্পানির সম্পদ এবং বিশেষ করে তথ্য পরিচালনা করার জন্য একটি সমন্বিত পদ্ধতি। কোম্পানিগুলি এই সমস্যাগুলিকে ভিন্নভাবে ব্যবহার করে। আজ আমরা এই জাতীয় সমস্যার সমাধান হিসাবে আন্তর্জাতিক মানের ISO 27001 বাস্তবায়ন সম্পর্কে কথা বলতে চাই। রাশিয়ান বাজারে সংস্থাগুলির জন্য, এই জাতীয় শংসাপত্রের উপস্থিতি বিদেশী ক্লায়েন্ট এবং অংশীদারদের সাথে যোগাযোগ সহজ করে যাদের এই বিষয়ে উচ্চ প্রয়োজনীয়তা রয়েছে। ISO 27001 পশ্চিমে ব্যাপকভাবে ব্যবহৃত হয় এবং তথ্য সুরক্ষার ক্ষেত্রে প্রয়োজনীয়তাগুলি কভার করে, যা ব্যবহৃত প্রযুক্তিগত সমাধানগুলির দ্বারা আবৃত করা উচিত এবং ব্যবসায়িক প্রক্রিয়াগুলির বিকাশে অবদান রাখে। এইভাবে, এই মান আপনার প্রতিযোগিতামূলক সুবিধা এবং বিদেশী কোম্পানিগুলির সাথে যোগাযোগের একটি বিন্দু হয়ে উঠতে পারে।

ইনফরমেশন সিকিউরিটি ম্যানেজমেন্ট সিস্টেমের এই সার্টিফিকেশন (এর পরে ISMS হিসাবে উল্লেখ করা হয়েছে) একটি ISMS ডিজাইন করার জন্য সর্বোত্তম অনুশীলন সংগ্রহ করেছে এবং গুরুত্বপূর্ণভাবে, সিস্টেমের কার্যকারিতা নিশ্চিত করার জন্য নিয়ন্ত্রণ সরঞ্জাম নির্বাচন করার সম্ভাবনা, প্রযুক্তিগত নিরাপত্তা সহায়তার প্রয়োজনীয়তা এবং এমনকি কোম্পানির কর্মী ব্যবস্থাপনা প্রক্রিয়ার জন্য। সর্বোপরি, এটি বুঝতে হবে যে প্রযুক্তিগত ব্যর্থতাগুলি সমস্যার একটি অংশ মাত্র। তথ্য নিরাপত্তার ক্ষেত্রে, মানব ফ্যাক্টর একটি বিশাল ভূমিকা পালন করে, এবং এটি নির্মূল বা হ্রাস করা অনেক বেশি কঠিন।

আপনার কোম্পানী যদি ISO 27001 সার্টিফাইড হতে চায়, তাহলে আপনি হয়তো ইতিমধ্যেই এটি করার সহজ উপায় খুঁজে বের করার চেষ্টা করেছেন। আমাদের আপনাকে হতাশ করতে হবে: এখানে কোন সহজ উপায় নেই। যাইহোক, এমন কিছু পদক্ষেপ রয়েছে যা আন্তর্জাতিক তথ্য সুরক্ষা প্রয়োজনীয়তার জন্য একটি সংস্থাকে প্রস্তুত করতে সহায়তা করবে:

1. ব্যবস্থাপনা থেকে সমর্থন পান

আপনি এটি সুস্পষ্ট মনে করতে পারেন, কিন্তু বাস্তবে এই বিন্দু প্রায়ই উপেক্ষা করা হয়. অধিকন্তু, ISO 27001 বাস্তবায়ন প্রকল্পগুলি প্রায়শই ব্যর্থ হওয়ার অন্যতম প্রধান কারণ এটি। স্ট্যান্ডার্ড বাস্তবায়ন প্রকল্পের তাৎপর্য না বুঝে, ব্যবস্থাপনা যথেষ্ট মানবসম্পদ বা সার্টিফিকেশনের জন্য পর্যাপ্ত বাজেট প্রদান করবে না।

2. একটি সার্টিফিকেশন প্রস্তুতি পরিকল্পনা বিকাশ

ISO 27001 সার্টিফিকেশনের জন্য প্রস্তুতি একটি জটিল কাজ যাতে বিভিন্ন ধরনের কাজ জড়িত, বিপুল সংখ্যক লোকের অংশগ্রহণ প্রয়োজন এবং অনেক মাস (বা এমনকি বছর)ও লাগতে পারে। অতএব, একটি বিশদ প্রকল্প পরিকল্পনা তৈরি করা খুবই গুরুত্বপূর্ণ: কঠোরভাবে সংজ্ঞায়িত কাজের জন্য সম্পদ, সময় এবং লোকেদের সম্পৃক্ততা বরাদ্দ করুন এবং সময়সীমার সাথে সম্মতি নিরীক্ষণ করুন - অন্যথায় আপনি কখনই কাজ শেষ করতে পারবেন না।

3. সার্টিফিকেশন পরিধি সংজ্ঞায়িত করুন

আপনার যদি বৈচিত্র্যময় ক্রিয়াকলাপ সহ একটি বড় সংস্থা থাকে, তবে কোম্পানির ব্যবসার শুধুমাত্র একটি অংশকে ISO 27001-এ প্রত্যয়িত করা বোধগম্য হতে পারে, যা আপনার প্রকল্পের ঝুঁকি, সেইসাথে এর সময় এবং খরচ উল্লেখযোগ্যভাবে হ্রাস করবে।

4. একটি তথ্য নিরাপত্তা নীতি বিকাশ

সবচেয়ে গুরুত্বপূর্ণ নথিগুলির মধ্যে একটি হল কোম্পানির তথ্য নিরাপত্তা নীতি। এটি আপনার কোম্পানির তথ্য নিরাপত্তা লক্ষ্য এবং তথ্য নিরাপত্তা ব্যবস্থাপনার মৌলিক নীতিগুলিকে প্রতিফলিত করবে, যা সকল কর্মচারীদের অবশ্যই অনুসরণ করতে হবে। এই নথির উদ্দেশ্য হল কোম্পানির ব্যবস্থাপনা তথ্য নিরাপত্তার ক্ষেত্রে কী অর্জন করতে চায়, সেইসাথে এটি কীভাবে বাস্তবায়িত এবং নিয়ন্ত্রণ করা হবে তা নির্ধারণ করা।

5. একটি ঝুঁকি মূল্যায়ন পদ্ধতি সংজ্ঞায়িত করুন

সবচেয়ে কঠিন কাজগুলির মধ্যে একটি হল ঝুঁকি মূল্যায়ন এবং ব্যবস্থাপনার জন্য নিয়ম সংজ্ঞায়িত করা। এটা বোঝা গুরুত্বপূর্ণ যে কোন কোম্পানি কোন ঝুঁকি গ্রহণযোগ্য বলে মনে করতে পারে এবং সেগুলো কমানোর জন্য তাৎক্ষণিক পদক্ষেপের প্রয়োজন। এই নিয়মগুলি ছাড়া, ISMS কাজ করবে না।
একই সময়ে, ঝুঁকি কমাতে গৃহীত ব্যবস্থার পর্যাপ্ততা মনে রাখা মূল্যবান। কিন্তু অপ্টিমাইজেশান প্রক্রিয়ার সাথে আপনার খুব বেশি দূরে থাকা উচিত নয়, কারণ এতে প্রচুর সময় বা আর্থিক ব্যয়ও হয় বা কেবল অসম্ভব হতে পারে। আমরা সুপারিশ করি যে আপনি ঝুঁকি কমানোর ব্যবস্থা করার সময় "ন্যূনতম পর্যাপ্ততা" নীতিটি ব্যবহার করুন।

6. একটি অনুমোদিত পদ্ধতি অনুযায়ী ঝুঁকি পরিচালনা করুন

পরবর্তী পর্যায়ে ঝুঁকি ব্যবস্থাপনা পদ্ধতির ধারাবাহিক প্রয়োগ, অর্থাৎ তাদের মূল্যায়ন এবং প্রক্রিয়াকরণ। এই প্রক্রিয়া মহান যত্ন সঙ্গে একটি নিয়মিত ভিত্তিতে বাহিত করা আবশ্যক. তথ্য নিরাপত্তা ঝুঁকি নিবন্ধন আপ টু ডেট রেখে, আপনি কার্যকরভাবে কোম্পানির সম্পদ বরাদ্দ করতে এবং গুরুতর ঘটনা প্রতিরোধ করতে সক্ষম হবেন।

7. ঝুঁকি চিকিত্সার পরিকল্পনা করুন

আপনার কোম্পানির জন্য গ্রহণযোগ্য মাত্রা ছাড়িয়ে যাওয়া ঝুঁকি অবশ্যই ঝুঁকি চিকিত্সা পরিকল্পনায় অন্তর্ভুক্ত করা উচিত। এটি ঝুঁকি হ্রাস করার লক্ষ্যে ক্রিয়াকলাপ রেকর্ড করা উচিত, সেইসাথে তাদের জন্য দায়ী ব্যক্তি এবং সময়সীমা।

8. প্রযোজ্যতার বিবৃতিটি সম্পূর্ণ করুন

এটি একটি মূল নথি যা অডিট চলাকালীন সার্টিফিকেশন সংস্থার বিশেষজ্ঞরা অধ্যয়ন করবেন। আপনার কোম্পানির কার্যকলাপে কোন তথ্য নিরাপত্তা নিয়ন্ত্রণ প্রযোজ্য তা বর্ণনা করা উচিত।

9. তথ্য নিরাপত্তা নিয়ন্ত্রণের কার্যকারিতা কিভাবে পরিমাপ করা হবে তা নির্ধারণ করুন।

যে কোনো কর্মের অবশ্যই একটি ফলাফল থাকতে হবে যা প্রতিষ্ঠিত লক্ষ্য পূরণের দিকে পরিচালিত করে। অতএব, সমগ্র তথ্য নিরাপত্তা ব্যবস্থাপনা ব্যবস্থা এবং প্রযোজ্যতা অ্যানেক্স থেকে প্রতিটি নির্বাচিত নিয়ন্ত্রণ ব্যবস্থার জন্য লক্ষ্য অর্জনের পরিমাপ কোন পরামিতিগুলির দ্বারা পরিমাপ করা হবে তা স্পষ্টভাবে সংজ্ঞায়িত করা গুরুত্বপূর্ণ।

10. তথ্য নিরাপত্তা নিয়ন্ত্রণ বাস্তবায়ন

এবং শুধুমাত্র পূর্ববর্তী সমস্ত পদক্ষেপগুলি সম্পূর্ণ করার পরেই আপনার প্রযোজ্যতা পরিশিষ্ট থেকে প্রযোজ্য তথ্য সুরক্ষা নিয়ন্ত্রণগুলি বাস্তবায়ন শুরু করা উচিত। এখানে সবচেয়ে বড় চ্যালেঞ্জ, অবশ্যই, আপনার প্রতিষ্ঠানের অনেক প্রক্রিয়ায় কাজ করার একটি সম্পূর্ণ নতুন উপায় প্রবর্তন করা হবে। লোকেরা নতুন নীতি এবং পদ্ধতিগুলিকে প্রতিরোধ করার প্রবণতা রাখে, তাই পরবর্তী পয়েন্টে মনোযোগ দিন।

11. কর্মচারীদের জন্য প্রশিক্ষণ কর্মসূচী বাস্তবায়ন

উপরে বর্ণিত সমস্ত পয়েন্ট অর্থহীন হবে যদি আপনার কর্মীরা প্রকল্পের গুরুত্ব না বোঝেন এবং তথ্য নিরাপত্তা নীতি অনুযায়ী কাজ না করেন। আপনি যদি চান যে আপনার কর্মীরা সমস্ত নতুন নিয়ম মেনে চলুক, তাহলে আপনাকে প্রথমে লোকেদের ব্যাখ্যা করতে হবে কেন তারা প্রয়োজনীয়, এবং তারপর ISMS-এর উপর প্রশিক্ষণ প্রদান করে, সমস্ত গুরুত্বপূর্ণ নীতিগুলিকে হাইলাইট করে যা কর্মীদের তাদের দৈনন্দিন কাজের ক্ষেত্রে অবশ্যই বিবেচনায় নিতে হবে। কর্মীদের প্রশিক্ষণের অভাব ISO 27001 প্রকল্প ব্যর্থতার একটি সাধারণ কারণ।

12. ISMS প্রক্রিয়া বজায় রাখুন

এই মুহুর্তে, ISO 27001 আপনার প্রতিষ্ঠানে একটি দৈনন্দিন রুটিনে পরিণত হয়। স্ট্যান্ডার্ড অনুসারে তথ্য সুরক্ষা নিয়ন্ত্রণের বাস্তবায়ন নিশ্চিত করতে, নিরীক্ষকদের রেকর্ড সরবরাহ করতে হবে - নিয়ন্ত্রণগুলির প্রকৃত অপারেশনের প্রমাণ। কিন্তু সর্বোপরি, রেকর্ডগুলি আপনাকে ট্র্যাক করতে সাহায্য করবে যে আপনার কর্মচারীরা (এবং সরবরাহকারী) অনুমোদিত নিয়ম অনুসারে তাদের কাজগুলি সম্পাদন করছে কিনা।

13. আপনার ISMS নিরীক্ষণ করুন

আপনার ISMS এর সাথে কি হচ্ছে? আপনার কতগুলো ঘটনা আছে, সেগুলো কি ধরনের? সমস্ত পদ্ধতি সঠিকভাবে অনুসরণ করা হয়? এই প্রশ্নগুলির সাথে, আপনাকে পরীক্ষা করা উচিত যে সংস্থাটি তার তথ্য সুরক্ষা লক্ষ্যগুলি পূরণ করছে কিনা৷ যদি তা না হয় তবে পরিস্থিতি সংশোধন করার জন্য আপনাকে একটি পরিকল্পনা তৈরি করতে হবে।

14. একটি অভ্যন্তরীণ ISMS অডিট পরিচালনা করুন

অভ্যন্তরীণ নিরীক্ষার উদ্দেশ্য হল কোম্পানির প্রকৃত প্রক্রিয়া এবং অনুমোদিত তথ্য নিরাপত্তা নীতির মধ্যে অসঙ্গতি সনাক্ত করা। বেশিরভাগ অংশের জন্য, এটি আপনার কর্মচারীরা কতটা ভাল নিয়মগুলি অনুসরণ করছে তা পরীক্ষা করছে। এটি একটি অত্যন্ত গুরুত্বপূর্ণ বিষয়, কারণ আপনি যদি আপনার কর্মীদের কাজ নিয়ন্ত্রণ না করেন, তাহলে প্রতিষ্ঠানের ক্ষতি হতে পারে (ইচ্ছাকৃত বা অনিচ্ছাকৃত)। কিন্তু এখানে লক্ষ্য অপরাধীদের খুঁজে বের করা এবং নীতিমালা না মেনে চলার জন্য তাদের শাস্তি দেওয়া নয়, বরং পরিস্থিতি সংশোধন করা এবং ভবিষ্যতের সমস্যা প্রতিরোধ করা।

15. একটি ব্যবস্থাপনা পর্যালোচনা সংগঠিত

ম্যানেজমেন্টের আপনার ফায়ারওয়াল কনফিগার করা উচিত নয়, তবে তাদের জানা উচিত ISMS-এ কী ঘটছে: উদাহরণস্বরূপ, প্রত্যেকে তাদের দায়িত্ব পালন করছে কিনা এবং ISMS তার লক্ষ্য ফলাফল অর্জন করছে কিনা। এর উপর ভিত্তি করে, ISMS এবং অভ্যন্তরীণ ব্যবসায়িক প্রক্রিয়াগুলিকে উন্নত করার জন্য ব্যবস্থাপনাকে মূল সিদ্ধান্ত নিতে হবে।

16. সংশোধনমূলক এবং প্রতিরোধমূলক কর্মের একটি সিস্টেম প্রবর্তন করুন

যেকোনো স্ট্যান্ডার্ডের মতো, ISO 27001-এর জন্য "নিরবিচ্ছিন্ন উন্নতি" প্রয়োজন: তথ্য সুরক্ষা ব্যবস্থাপনা সিস্টেমের অসঙ্গতিগুলির পদ্ধতিগত সংশোধন এবং প্রতিরোধ। সংশোধনমূলক এবং প্রতিরোধমূলক কর্মের মাধ্যমে, অসঙ্গতি সংশোধন করা যেতে পারে এবং ভবিষ্যতে পুনরাবৃত্তি হওয়া থেকে প্রতিরোধ করা যেতে পারে।

উপসংহারে, আমি বলতে চাই যে প্রকৃতপক্ষে, প্রত্যয়িত হওয়া বিভিন্ন উত্সে বর্ণিত তুলনায় অনেক বেশি কঠিন। এটি এই সত্য দ্বারা নিশ্চিত করা হয়েছে যে আজ রাশিয়ায় রয়েছে 78টি কোম্পানি সম্মতির জন্য প্রত্যয়িত হয়েছে। একই সময়ে, এটি তথ্য নিরাপত্তার ক্ষেত্রে ব্যবসার ক্রমবর্ধমান চাহিদা মেটাতে বিদেশের অন্যতম জনপ্রিয় মান। বাস্তবায়নের এই দাবিটি শুধুমাত্র হুমকির প্রকারের বৃদ্ধি এবং জটিলতার কারণে নয়, আইনের প্রয়োজনীয়তার জন্যও, সেইসাথে ক্লায়েন্টদের যাদের তাদের ডেটার সম্পূর্ণ গোপনীয়তা বজায় রাখতে হবে।

আইএসএমএস সার্টিফিকেশন একটি সহজ কাজ নয় তা সত্ত্বেও, আন্তর্জাতিক মানের ISO/IEC 27001-এর প্রয়োজনীয়তা পূরণের সত্যই বিশ্ব বাজারে একটি গুরুতর প্রতিযোগিতামূলক সুবিধা প্রদান করতে পারে। আমরা আশা করি যে আমাদের নিবন্ধটি সার্টিফিকেশনের জন্য একটি কোম্পানির প্রস্তুতির মূল ধাপগুলির প্রাথমিক ধারণা প্রদান করেছে।

উত্স: www.habr.com