ISO/IEC 5 પ્રમાણપત્રની અનિવાર્યતાના 27001 તબક્કા. હતાશા

પરિવર્તન પ્રત્યે ભાવનાત્મક પ્રતિભાવનો ચોથો તબક્કો ડિપ્રેશન છે. આ લેખમાં અમે તમને સૌથી લાંબી અને અપ્રિય તબક્કામાંથી પસાર થવાના અમારા અનુભવ વિશે જણાવીશું - ISO 27001 સ્ટાન્ડર્ડ સાથેના તેમના અનુપાલનને હાંસલ કરવા માટે કંપનીની વ્યવસાય પ્રક્રિયાઓમાં ફેરફારો વિશે.

અપેક્ષા

સર્ટિફાઇંગ બોડી અને કન્સલ્ટન્ટની પસંદગી કર્યા પછી અમે પોતાને પૂછેલો પહેલો પ્રશ્ન એ હતો કે તમામ જરૂરી ફેરફારો કરવા માટે અમને ખરેખર કેટલો સમય લાગશે?

પ્રારંભિક કાર્ય યોજના એવી રીતે સુનિશ્ચિત કરવામાં આવી હતી કે અમારે તેને 3 મહિનામાં પૂર્ણ કરવાનું હતું.

બધું સરળ લાગતું હતું: બે ડઝન નીતિઓ લખવી અને અમારી આંતરિક પ્રક્રિયાઓમાં થોડો ફેરફાર કરવો જરૂરી હતો; પછી સાથીદારોને ફેરફારો પર તાલીમ આપો અને બીજા 3 મહિના રાહ જુઓ (જેથી "રેકોર્ડ્સ" દેખાય, એટલે કે, નીતિઓની કામગીરીના પુરાવા). એવું લાગતું હતું કે તે બધું હતું - અને પ્રમાણપત્ર અમારા ખિસ્સામાં હતું.

વધુમાં, અમે શરૂઆતથી નીતિઓ લખવાના ન હતા - છેવટે, અમારી પાસે એક સલાહકાર હતો, જેમણે અમે વિચાર્યું તેમ, અમને બધા "સાચા" નમૂનાઓ આપવાના હતા.

આ નિષ્કર્ષના પરિણામે, અમે દરેક પોલિસી તૈયાર કરવા માટે 3 દિવસ ફાળવ્યા.

ટેકનિકલ ફેરફારો પણ ભયજનક લાગતા ન હતા: ઇવેન્ટના સંગ્રહ અને સંગ્રહને સેટ કરવું જરૂરી હતું, બેકઅપ્સ અમે લખેલી નીતિનું પાલન કરે છે કે કેમ તે તપાસવું, જ્યાં જરૂરી હોય ત્યાં એક્સેસ કંટ્રોલ સિસ્ટમ્સ સાથે ઑફિસને રિટ્રોફિટ કરવી અને અન્ય કેટલીક નાની વસ્તુઓ .
પ્રમાણપત્ર માટે જરૂરી બધું તૈયાર કરતી ટીમમાં બે લોકોનો સમાવેશ થતો હતો. અમે આયોજન કર્યું છે કે તેઓ તેમની મુખ્ય જવાબદારીઓ સાથે સમાંતર અમલીકરણમાં સામેલ થશે, અને આમાં દરેકને દિવસમાં વધુમાં વધુ 1,5-2 કલાકનો સમય લાગશે.
સારાંશ માટે, અમે કહી શકીએ કે કામના આગામી અવકાશ વિશે અમારો દૃષ્ટિકોણ ખૂબ આશાવાદી હતો.

વાસ્તવિકતા

વાસ્તવમાં, બધું કુદરતી રીતે અલગ હતું: સલાહકાર દ્વારા પ્રદાન કરવામાં આવેલ નીતિ નમૂનાઓ મોટે ભાગે અમારી કંપની માટે અયોગ્ય હોવાનું બહાર આવ્યું; શું અને કેવી રીતે કરવું તે વિશે ઇન્ટરનેટ પર લગભગ કોઈ સ્પષ્ટ માહિતી નહોતી. જેમ તમે કલ્પના કરી શકો છો, "3 દિવસમાં એક પોલિસી લખવાની" યોજના ખરાબ રીતે નિષ્ફળ ગઈ. તેથી અમે લગભગ પ્રોજેક્ટની શરૂઆતથી જ સમયમર્યાદા પૂરી કરવાનું બંધ કરી દીધું, અને અમારો મૂડ ધીમે ધીમે પડવા લાગ્યો.

ટીમની નિપુણતા આપત્તિજનક રીતે ઓછી હતી - એટલી કે તે સલાહકારને યોગ્ય પ્રશ્નો પૂછવા માટે પણ પૂરતું ન હતું (જેમણે, માર્ગ દ્વારા, વધુ પહેલ દર્શાવી ન હતી). અમલીકરણની શરૂઆતના 3 મહિના પછી (એટલે ​​​​કે, જ્યારે બધું તૈયાર હોવું જોઈએ ત્યારે) વસ્તુઓ વધુ ધીમેથી આગળ વધવા લાગી, બે મુખ્ય સહભાગીઓમાંથી એકે ટીમ છોડી દીધી. તેમની જગ્યાએ IT સેવાના નવા વડાની નિમણૂક કરવામાં આવી હતી, જેમણે ઝડપથી અમલીકરણ પ્રક્રિયા પૂર્ણ કરવાની હતી અને તકનીકી દૃષ્ટિકોણથી સૌથી જરૂરી બધું સાથે માહિતી સુરક્ષા વ્યવસ્થાપન સિસ્ટમ પ્રદાન કરવાની હતી. કાર્ય મુશ્કેલ લાગતું હતું... ચાર્જ સંભાળનારાઓ હતાશ થવા લાગ્યા.

આ ઉપરાંત, મુદ્દાની તકનીકી બાજુ પણ "નોન્સિસ" હોવાનું બહાર આવ્યું છે. અમે વર્કસ્ટેશનો અને સર્વર સાધનો પર વૈશ્વિક સોફ્ટવેર આધુનિકીકરણના કાર્યનો સામનો કરી રહ્યા છીએ. ઇવેન્ટ્સ (લોગ્સ) એકત્રિત કરવા માટે સિસ્ટમ સેટ કરતી વખતે, તે બહાર આવ્યું કે અમારી પાસે સિસ્ટમની સામાન્ય કામગીરી માટે પૂરતા હાર્ડવેર સંસાધનો નથી. અને બેકઅપ સોફ્ટવેરને પણ આધુનિકીકરણની જરૂર હતી.

સ્પોઇલર: પરિણામે, ISMS 6 મહિનામાં વીરતાપૂર્વક અમલમાં મૂકવામાં આવ્યું હતું. અને કોઈ મરી પણ ગયું!

સૌથી વધુ શું બદલાયું છે?

અલબત્ત, ધોરણના અમલીકરણ દરમિયાન, કંપનીની પ્રક્રિયાઓમાં મોટી સંખ્યામાં નાના ફેરફારો થયા. અમે તમારા માટે સૌથી નોંધપાત્ર ફેરફારોને હાઇલાઇટ કર્યા છે:

• જોખમ આકારણી પ્રક્રિયાનું ઔપચારિકકરણ

અગાઉ, કંપની પાસે કોઈ ઔપચારિક જોખમ મૂલ્યાંકન પ્રક્રિયા ન હતી - તે માત્ર એકંદર વ્યૂહાત્મક આયોજનના ભાગ રૂપે પસાર કરવામાં આવી હતી. સર્ટિફિકેશનના ભાગ રૂપે હલ કરવામાં આવેલ સૌથી મહત્વપૂર્ણ કાર્યોમાંનું એક કંપનીની રિસ્ક એસેસમેન્ટ પોલિસીનું અમલીકરણ હતું, જે આ પ્રક્રિયાના તમામ તબક્કાઓ અને દરેક તબક્કા માટે જવાબદાર વ્યક્તિઓનું વર્ણન કરે છે.

• દૂર કરી શકાય તેવા સ્ટોરેજ મીડિયા પર નિયંત્રણ

વ્યવસાય માટેનું એક નોંધપાત્ર જોખમ એ એનક્રિપ્ટેડ યુએસબી ફ્લેશ ડ્રાઇવનો ઉપયોગ હતો: વાસ્તવમાં, કોઈપણ કર્મચારી તેને ફ્લેશ ડ્રાઇવ પર ઉપલબ્ધ કોઈપણ માહિતી લખી શકે છે અને, શ્રેષ્ઠ રીતે, તેને ગુમાવી શકે છે. પ્રમાણપત્રના ભાગ રૂપે, તમામ કર્મચારી વર્કસ્ટેશનો પર ફ્લેશ ડ્રાઇવ્સ પર કોઈપણ માહિતી ડાઉનલોડ કરવાની ક્ષમતા અક્ષમ કરવામાં આવી હતી - માહિતી રેકોર્ડિંગ ફક્ત IT વિભાગને અરજી દ્વારા જ શક્ય બન્યું હતું.

• સુપર વપરાશકર્તા નિયંત્રણ

મુખ્ય સમસ્યાઓમાંની એક એ હકીકત હતી કે તમામ આઇટી વિભાગના કર્મચારીઓને તમામ કંપની સિસ્ટમ્સમાં સંપૂર્ણ અધિકારો હતા - તેમની પાસે તમામ માહિતીની ઍક્સેસ હતી. તે જ સમયે, કોઈએ તેમને ખરેખર નિયંત્રિત કર્યું નથી.

અમે ડેટા લોસ પ્રિવેન્શન (DLP) સિસ્ટમ લાગુ કરી છે - કર્મચારીઓની ક્રિયાઓ પર દેખરેખ રાખવા માટેનો એક કાર્યક્રમ જે ખતરનાક અને અનુત્પાદક પ્રવૃત્તિઓ વિશે વિશ્લેષણ, અવરોધ અને ચેતવણી આપે છે. હવે આઈટી વિભાગના કર્મચારીઓની ક્રિયાઓ વિશે ચેતવણીઓ કંપનીના ઓપરેશન્સ ડિરેક્ટરના ઈમેલ એડ્રેસ પર મોકલવામાં આવે છે.

• માહિતી ઈન્ફ્રાસ્ટ્રક્ચરનું આયોજન કરવાનો અભિગમ

પ્રમાણપત્ર જરૂરી વૈશ્વિક ફેરફારો અને અભિગમો. હા, વધતા ભારને કારણે અમારે સંખ્યાબંધ સર્વર સાધનોને અપગ્રેડ કરવા પડ્યા. ખાસ કરીને, અમે ઇવેન્ટ કલેક્શન સિસ્ટમ્સ માટે એક અલગ સર્વર સમર્પિત કર્યું છે. સર્વર મોટી અને ઝડપી SSD ડ્રાઈવોથી સજ્જ હતું. અમે બૅકઅપ સૉફ્ટવેર છોડી દીધું અને સ્ટોરેજ સિસ્ટમ્સ પસંદ કરી જેમાં બૉક્સની બહાર તમામ જરૂરી કાર્યક્ષમતા હોય. અમે "કોડ તરીકે ઈન્ફ્રાસ્ટ્રક્ચર" ખ્યાલ તરફ ઘણા મોટા પગલાં લીધાં, જેણે અમને સંખ્યાબંધ સર્વર્સના બેકઅપને દૂર કરીને ઘણી બધી ડિસ્ક જગ્યા બચાવવાની મંજૂરી આપી. શક્ય તેટલા ઓછા સમયમાં (1 અઠવાડિયું), વર્કસ્ટેશન પરના તમામ સૉફ્ટવેરને Win10 પર અપગ્રેડ કરવામાં આવ્યું હતું. આધુનિકીકરણ દ્વારા ઉકેલાયેલ મુદ્દાઓ પૈકી એક એન્ક્રિપ્શન સક્ષમ કરવાની ક્ષમતા હતી (પ્રો સંસ્કરણમાં).

• કાગળના દસ્તાવેજો પર નિયંત્રણ

કંપનીને કાગળના દસ્તાવેજોના ઉપયોગ સાથે સંકળાયેલા નોંધપાત્ર જોખમો હતા: તે ખોવાઈ શકે છે, ખોટી જગ્યાએ છોડી દેવામાં આવે છે અથવા અયોગ્ય રીતે નાશ થઈ શકે છે. આ જોખમને ઘટાડવા માટે, અમે તમામ કાગળના દસ્તાવેજોને ગોપનીયતાના સ્તર અનુસાર ચિહ્નિત કર્યા છે અને વિવિધ પ્રકારના દસ્તાવેજોનો નાશ કરવાની પ્રક્રિયા વિકસાવી છે. હવે, જ્યારે કોઈ કર્મચારી ફોલ્ડર ખોલે છે અથવા દસ્તાવેજ લે છે, ત્યારે તે બરાબર જાણે છે કે આ માહિતી કઈ શ્રેણીમાં આવે છે અને તેને કેવી રીતે હેન્ડલ કરવી.

• બેકઅપ ડેટા સેન્ટર ભાડે આપવું

અગાઉ, કંપનીની તમામ માહિતી તૃતીય-પક્ષ સુરક્ષિત ડેટા સેન્ટરમાં સ્થિત સર્વર્સ પર સંગ્રહિત કરવામાં આવતી હતી. જો કે, આ ડેટા સેન્ટરમાં કોઈ કટોકટીની પ્રક્રિયાઓ ન હતી. બેકઅપ ક્લાઉડ ડેટા સેન્ટર ભાડે લેવાનો અને ત્યાંની સૌથી મહત્વપૂર્ણ માહિતીનો બેકઅપ લેવાનો ઉકેલ હતો. હાલમાં, કંપનીની માહિતી બે ભૌગોલિક રીતે દૂરસ્થ ડેટા સેન્ટર્સમાં સંગ્રહિત છે, જે તેના નુકસાનનું જોખમ ઘટાડે છે.

• વ્યવસાય સાતત્ય પરીક્ષણ

અમારી કંપનીમાં ઘણા વર્ષોથી વ્યવસાય સાતત્ય નીતિ (BCP) છે, જે વિવિધ નકારાત્મક પરિસ્થિતિઓમાં (ઓફિસની ઍક્સેસ, રોગચાળો, પાવર આઉટેજ, વગેરે) માં કર્મચારીઓએ શું કરવું જોઈએ તેનું વર્ણન કરે છે. જો કે, અમે ક્યારેય સાતત્ય પરીક્ષણ કર્યું નથી - એટલે કે, આ દરેક પરિસ્થિતિમાં વ્યવસાયને પુનઃસ્થાપિત કરવામાં કેટલો સમય લાગશે તે અમે ક્યારેય માપ્યું નથી. સર્ટિફિકેશન ઓડિટની તૈયારીમાં, અમે માત્ર આ જ કર્યું નથી, પરંતુ આવતા વર્ષ માટે વ્યવસાય સાતત્ય પરીક્ષણ યોજના પણ વિકસાવી છે. નોંધનીય છે કે એક વર્ષ પછી, જ્યારે અમને સંપૂર્ણપણે દૂરસ્થ કાર્ય પર સ્વિચ કરવાની જરૂરિયાતનો સામનો કરવો પડ્યો, ત્યારે અમે આ કાર્ય ત્રણ દિવસમાં પૂર્ણ કર્યું.

તે નોંધવું મહત્વપૂર્ણ છે, કે સર્ટિફિકેશન માટે તૈયારી કરતી તમામ કંપનીઓની શરૂઆતની શરતો અલગ હોય છે - તેથી, તમારા કિસ્સામાં, સંપૂર્ણપણે અલગ ફેરફારોની જરૂર પડી શકે છે.

ફેરફારો માટે કર્મચારીઓની પ્રતિક્રિયાઓ

વિચિત્ર રીતે - અહીં આપણે સૌથી ખરાબની અપેક્ષા રાખીએ છીએ - તે એટલું ખરાબ ન હતું. એવું કહી શકાય નહીં કે સાથીદારોને પ્રમાણપત્રના સમાચાર ખૂબ જ ઉત્સાહ સાથે મળ્યા, પરંતુ નીચેની બાબતો સ્પષ્ટ હતી:

• બધા મુખ્ય કર્મચારીઓ આ ઘટનાના મહત્વ અને અનિવાર્યતાને સમજ્યા;
• અન્ય તમામ કર્મચારીઓએ મુખ્ય કર્મચારીઓ તરફ જોયું.

અલબત્ત, અમારા ઉદ્યોગની વિશિષ્ટતાઓએ અમને ઘણી મદદ કરી - એકાઉન્ટિંગ કાર્યોનું આઉટસોર્સિંગ. અમારા મોટાભાગના કર્મચારીઓ રશિયન કાયદામાં સતત ફેરફારોનો સારી રીતે સામનો કરે છે. તદનુસાર, બે ડઝન નવા નિયમોની રજૂઆત જે હવે અવલોકન કરવી આવશ્યક છે તે તેમના માટે સામાન્ય બાબત ન હતી.

અમે અમારા તમામ કર્મચારીઓ માટે નવી ફરજિયાત ISO 27001 તાલીમ અને પરીક્ષણ તૈયાર કર્યું છે. દરેક વ્યક્તિએ આજ્ઞાકારીપણે તેમના મોનિટરમાંથી પાસવર્ડ્સવાળી સ્ટીકી નોટ્સ દૂર કરી અને દસ્તાવેજોથી ભરેલા ડેસ્કને સાફ કર્યા. કોઈ મોટેથી અસંતોષ જોવા મળ્યો ન હતો - સામાન્ય રીતે, અમે અમારા કર્મચારીઓ સાથે ખૂબ નસીબદાર હતા.

આમ, અમે અમારી વ્યાપાર પ્રક્રિયાઓમાં થતા ફેરફારો સાથે સંકળાયેલ સૌથી પીડાદાયક તબક્કો - "ડિપ્રેશન" - પસાર કર્યો છે. તે મુશ્કેલ અને મુશ્કેલ હતું, પરંતુ અંતે પરિણામ અમારી બધી જંગલી અપેક્ષાઓ કરતાં વધી ગયું.

શ્રેણીમાંથી અગાઉની સામગ્રી વાંચો:

ISO/IEC 5 પ્રમાણપત્રની અનિવાર્યતાના 27001 તબક્કા. ઇનકાર: ISO 27001:2013 પ્રમાણપત્ર વિશેની ગેરસમજો, પ્રમાણપત્ર મેળવવાની સલાહ.

ISO/IEC 5 પ્રમાણપત્રની અનિવાર્યતાના 27001 તબક્કા. ગુસ્સો: શરૂઆત ક્યાંથી કરવી? પ્રારંભિક ડેટા. ખર્ચ. પ્રદાતા પસંદ કરી રહ્યા છીએ.

ISO/IEC 5 પ્રમાણપત્રની અનિવાર્યતાના 27001 તબક્કા. સોદાબાજી: અમલીકરણ યોજના તૈયાર કરવી, જોખમનું મૂલ્યાંકન કરવું, નીતિઓ લખવી.

ISO/IEC 5 પ્રમાણપત્રની અનિવાર્યતાના 27001 તબક્કા. હતાશા.

ISO/IEC 5 પ્રમાણપત્રની અનિવાર્યતાના 27001 તબક્કા. દત્તક.

સોર્સ: www.habr.com