ISO/IEC 5 પ્રમાણપત્રની અનિવાર્યતાના 27001 તબક્કા. નકાર

કંપની માટે કોઈપણ વ્યૂહાત્મક રીતે મહત્વપૂર્ણ નિર્ણય લેતી વખતે, કર્મચારીઓ મૂળભૂત સંરક્ષણ પદ્ધતિમાંથી પસાર થાય છે, જે પરિવર્તનને પ્રતિસાદ આપવાના 5 તબક્કા તરીકે જાણીતું છે (ઇ. કુબલર-રોસ દ્વારા). એક પ્રખ્યાત મનોવૈજ્ઞાનિકે એકવાર ભાવનાત્મક પ્રતિક્રિયાઓ વર્ણવી, ભાવનાત્મક પ્રતિભાવના 5 મુખ્ય તબક્કાઓને પ્રકાશિત કર્યા: નકાર, ગુસ્સો, સોદો, હતાશા અને છેવટે દત્તક. અમે ISO 27001 પ્રમાણપત્રને સમર્પિત લેખોની શ્રેણી તૈયાર કરી છે, જ્યાં અમે દરેક તબક્કાને જોઈશું. આજે આપણે તેમાંથી પ્રથમ વિશે વાત કરીશું - ઇનકાર.

"શો માટે" ISO 27001 પ્રમાણપત્ર મેળવવું એ ખૂબ જ શંકાસ્પદ આનંદ છે, કારણ કે તેને લાંબી અને ખર્ચાળ તૈયારીની જરૂર છે. તદુપરાંત, તે બતાવે છે તેમ આંકડા, આ ધોરણ રશિયન ફેડરેશનમાં અત્યંત અપ્રિય છે: આજની તારીખે, માત્ર 70 કંપનીઓને પાલન માટે પ્રમાણિત કરવામાં આવી છે. તે જ સમયે, આ વિદેશમાં સૌથી લોકપ્રિય ધોરણોમાંનું એક છે, જે માહિતી સુરક્ષાના ક્ષેત્રમાં વ્યવસાયની વધતી જતી માંગને પૂર્ણ કરે છે.

અમારી કંપની એકાઉન્ટિંગ કાર્યો માટે આઉટસોર્સિંગ સેવાઓની સંપૂર્ણ શ્રેણી પૂરી પાડે છે: એકાઉન્ટિંગ અને ટેક્સ એકાઉન્ટિંગ, પગારપત્રક અને કર્મચારી વહીવટ. અમે એક અગ્રણી બજાર સ્થાન પર કબજો જમાવીએ છીએ, ખાસ કરીને એ હકીકતને કારણે કે રશિયામાં શાખાઓ ધરાવતી વિદેશી કંપનીઓ તેમની ગોપનીય માહિતી સાથે અમને વિશ્વાસ કરે છે. આ ફક્ત અમારા ગ્રાહકોની નાણાકીય પ્રક્રિયાઓને જ નહીં, પરંતુ અમે રોજિંદા ધોરણે કામ કરીએ છીએ તે વ્યક્તિગત ડેટાને પણ લાગુ પડે છે. આ સંદર્ભમાં, માહિતી સુરક્ષાનો મુદ્દો અમારી પ્રાથમિકતાઓમાંનો એક છે.

મોટે ભાગે, રશિયન વિભાગોની તમામ વ્યવસાય પ્રક્રિયાઓ વિદેશી કંપનીઓની મુખ્ય કચેરીઓ દ્વારા નિયંત્રિત અને જાહેર કરવામાં આવે છે, અને તેથી તેઓએ આંતરિક જૂથ-વ્યાપી ધોરણોનું પાલન કરવું આવશ્યક છે. તાજેતરમાં, અમારા કેટલાક મુખ્ય ગ્રાહકોએ તેમની સુરક્ષા નીતિઓને વધુ કડક બનાવવાની દિશામાં સુધારો કરવાનું શરૂ કર્યું છે. અલબત્ત, આ સાયબર હુમલાઓની વધતી જતી સંખ્યામાં વૈશ્વિક વલણોને કારણે છે અને માહિતી સુરક્ષા ભંગની ઘટનાઓ સાથે સંકળાયેલા નુકસાનને કારણે છે. જો કંપનીની માહિતી સુરક્ષાને વધારવાના હેતુથી સુરક્ષા પગલાં, નીતિઓ અને પ્રક્રિયાઓનો અમલ કરવો જરૂરી હોય, તો તમે ISO વિના કરી શકો છો. /IEC 27001 પ્રમાણપત્ર, જેનાથી ઘણા પૈસા, સમય અને જ્ઞાનતંતુઓની બચત થાય છે.

આજે, કંપનીમાં હાલની માહિતી સુરક્ષા માટેની જરૂરિયાતો વિદેશી ગ્રાહકોના ટેન્ડરોમાં દેખાવાનું શરૂ થયું છે. કેટલાક, તેમની ચકાસણીને સરળ બનાવવા અને અભિગમને એકીકૃત કરવા માટે, ફરજિયાત મૂલ્યાંકન માપદંડ સેટ કરે છે - ISO/IEC 27001 પ્રમાણપત્રની હાજરી.

અમે જે જોયું છે તે અહીં છે: આ ધોરણ માટે પ્રમાણિત અમારા ચાવીરૂપ આંતરરાષ્ટ્રીય ગ્રાહકોમાંના એકે તેની વૈશ્વિક માહિતી સુરક્ષા ટીમને નોંધપાત્ર રીતે મજબૂત કરી હોવાનું જણાય છે. અમને આ વિશે કેવી રીતે ખબર પડી? તેઓએ અમારી માહિતી સુરક્ષા વ્યવસ્થાપન પ્રણાલીનું ઓડિટ કરવાનું નક્કી કર્યું, કારણ કે અમે તેમને એકાઉન્ટિંગ સેવાઓ અને કર્મચારી વહીવટ પ્રદાન કરીએ છીએ - અને તે મુજબ, અમારી માહિતી પ્રણાલીઓની સુરક્ષા તેમના માટે અત્યંત મહત્વપૂર્ણ છે. અગાઉનું ઓડિટ 3 વર્ષ પહેલાં થયું હતું - તે સમયે બધું એકદમ પીડારહિત હતું.

આ વખતે, ભારતીયોની એક મૈત્રીપૂર્ણ ટીમે અમારા પર હુમલો કર્યો, અમારી સુરક્ષા વ્યવસ્થાપન પ્રણાલીમાં ઘણી ડઝન ખામીઓને ચપળતાપૂર્વક બહાર કાઢી. ઓડિટ પ્રક્રિયા સંસારના ચક્રને મળતી આવતી હતી - એવું લાગતું હતું કે સૈદ્ધાંતિક રીતે તેમની પાસે ઓડિટના ભાગ રૂપે કોઈપણ અંતિમ બિંદુ સુધી પહોંચવાનું કોઈ લક્ષ્ય નથી. તે પ્રશ્નો, ટિપ્પણીઓ, અમારી ટિપ્પણીઓ અને તેમની વાસ્તવિકતાના પુરાવા, કોન્ફરન્સ કૉલ્સ અને ક્લાયંટની IT સુરક્ષા ટીમના ઉચ્ચારને ઓળખવાના પ્રયાસોમાં લાંબી દાર્શનિક વાર્તાલાપનો અનંત તાર હતો. માર્ગ દ્વારા, ઑડિટ આજની તારીખે વિવિધ તીવ્રતા સાથે ચાલુ રહે છે - સમય જતાં, અમે આ સાથે શરતો પર આવ્યા છીએ. આમ, પ્રમાણપત્રની જરૂરિયાત તેના પોતાના પર ઊભી થઈ છે.

કદાચ આપણે ISO 9001 સાથે કરી શકીએ?

દરેક વ્યક્તિ કે જેઓ કોઈપણ ISO ધોરણો અનુસાર પ્રમાણપત્રના મુદ્દામાં વધુ કે ઓછા સમજદાર છે તે સમજે છે કે તેમાંના દરેકનો આધાર ISO 9001 "ગુણવત્તા વ્યવસ્થાપન સિસ્ટમ" પ્રમાણપત્ર છે. ISO ધોરણોની સમગ્ર લાઇનમાં આ કદાચ સૌથી લોકપ્રિય પ્રમાણપત્ર છે. અમારી પાસે તે ન હતું - અને અમે તે ન મેળવવાનું નક્કી કર્યું. આના માટે ઘણા કારણો હતા:

• આ પ્રમાણપત્ર ધરાવતી કંપનીની શંકાસ્પદ આર્થિક કાર્યક્ષમતા;
• અમારી આંતરિક પ્રક્રિયાઓ, મોટાભાગે, પહેલાથી જ આ ધોરણની નજીક હતી;
• આ પ્રમાણપત્ર મેળવવા માટે વધારાના સમય અને નાણાંની જરૂર પડશે.

તદનુસાર, અમે "હળવા" 27001 થી પ્રારંભ કર્યા વિના, તરત જ ISO 9001 લાગુ કરવાનું નક્કી કર્યું.

અથવા કદાચ તે હજુ પણ જરૂરી નથી?

આગળ જોતાં, તે મેળવવાની સલાહ આપવામાં આવે છે કે કેમ તે પ્રશ્ન પર અમે ઘણી વખત પાછા ફર્યા છીએ. અમે દરેક બાજુથી આ મુદ્દાનો અભ્યાસ કરવાનું શરૂ કર્યું, કારણ કે અમારી પાસે બિલકુલ નિપુણતા નહોતી. અને અહીં એવી ગેરમાન્યતાઓ છે જેણે અમને આ મુદ્દા વિશે ફરી એકવાર વિચારવા મજબૂર કર્યા છે.

ગેરસમજ #1.
અમે આશા રાખીએ છીએ કે માનક અમને વિગતવાર ચેકલિસ્ટ, નીતિઓની સૂચિ અને અન્ય વૈધાનિક દસ્તાવેજો પ્રદાન કરશે. વાસ્તવમાં, તે બહાર આવ્યું છે કે ISO/IEC 27001 એ માહિતી સુરક્ષા વ્યવસ્થાપન પ્રણાલી અને નિર્માણની પ્રક્રિયા માટેની જરૂરિયાતોનો સમૂહ છે. તેના આધારે, ધોરણની આવશ્યકતાઓનું પાલન કરવા માટે અમારી કંપનીમાં શું લખવું/અમલીકરણ કરવું તે સ્વતંત્ર રીતે નક્કી કરવું જરૂરી હતું.

ગેરસમજ #2.
અમે પ્રામાણિકપણે માનીએ છીએ કે અમારા માટે એક દસ્તાવેજનો અભ્યાસ કરવો અને તે પ્રમાણમાં ટૂંકા સમયમાં અમારા પોતાના પર અમલમાં મૂકવા માટે તે પૂરતું હશે. વાસ્તવમાં, દસ્તાવેજ વાંચતી વખતે, અમને સમજાયું કે અમારું માનક કેટલા સંબંધિત ધોરણોને "ચોંટી રાખે છે", આપણે કેટલા ધોરણોથી પરિચિત થવાની જરૂર છે (ઓછામાં ઓછું સુપરફિસિયલ). કેક પર "ચેરી" એ સાર્વજનિક ડોમેનમાં વર્તમાન ધોરણોના પાઠોનો અભાવ હતો - તે સત્તાવાર ISO વેબસાઇટ પર ખરીદવાની હતી.

ગેરસમજ #3.
અમને વિશ્વાસ હતો કે અમે પ્રમાણપત્ર માટે તૈયાર કરવા માટે જરૂરી બધું જ ઓપન સોર્સમાં મેળવીશું. ખરેખર ઈન્ટરનેટ પર ISO 27001 પર ઘણી બધી સામગ્રીઓ હતી, પરંતુ તેમાં વિશિષ્ટતાઓનો અભાવ હતો. પ્રમાણપત્રની તૈયારી માટે, તેમજ આ ધોરણને અમલમાં મૂકનાર કંપનીઓના વાસ્તવિક કિસ્સાઓ માટે વ્યવહારીક રીતે કોઈ સરળ-સમજવા-સમજવા માટેના પગલા-દર-પગલાં સૂચનો નહોતા.

ગેરસમજ #4.
અમે નીતિઓ લખીશું, પરંતુ તે કામ કરશે નહીં! ઠીક છે, તે સાચું છે, અમારી કંપનીના પહેલાથી જ ઘણા બધા નિયમો છે, કોઈ અન્ય 3 ડઝન નવી નીતિઓનું પાલન કરશે નહીં. વાસ્તવમાં, સદભાગ્યે, અમારા કર્મચારીઓએ જવાબદારીપૂર્વક નવા નિયમોમાં નિપુણતા મેળવવાનું કાર્ય કર્યું અને માહિતી સુરક્ષા વ્યવસ્થાપન સિસ્ટમના દસ્તાવેજોના જ્ઞાન માટેની કસોટી સફળતાપૂર્વક પાસ કરી.

ગેરસમજ #5.
તે સમયે, અમે સ્પષ્ટપણે મૂલ્યાંકન કરી શક્યા ન હતા કે અમારા પ્રયત્નોથી અમને શું ફાયદો થશે. તે સમયે, આ પ્રમાણપત્ર માટેની વિનંતીઓની સંખ્યા એટલી મોટી ન હતી, અને પ્રમાણપત્ર પહેલાં અમારી પાસે અમારા મુખ્ય અને સૌથી વધુ માગણી કરનાર ક્લાયન્ટ હતા. અનુભવ દર્શાવે છે કે અમે ધોરણ વિના વ્યવસ્થા કરી હતી.

અમુક સમયે, અમને સમજાયું કે અમે ક્લાયન્ટની જરૂરિયાતોને કારણે એક અથવા બીજા ઉભરતા અંતરને અસ્તવ્યસ્ત રીતે બંધ કરી રહ્યા છીએ. દરેક વખતે અમે કેટલીક નવી નીતિઓ અથવા ઉકેલો લઈને આવ્યા છીએ. અને અમે આખરે સ્વતંત્ર રીતે નિષ્કર્ષ પર આવ્યા કે પ્રક્રિયાને વ્યવસ્થિત બનાવવી તે ખૂબ સરળ હશે, જે ભવિષ્યમાં અમને ઘણા મજૂર ખર્ચ પણ બચાવશે. ધોરણનો હેતુ આ કાર્યને સરળ બનાવવાનો હતો.

હવે, બે વર્ષ પછી, અમે મુખ્ય આંતરરાષ્ટ્રીય ક્લાયન્ટ્સ તરફથી આ મુદ્દામાં વિનંતીઓ અને રુચિની સંખ્યામાં વધારો જોઈ રહ્યા છીએ.

અંતિમ નિર્ણય.

નિષ્કર્ષમાં, અમે કહેવા માંગીએ છીએ કે અમારા ઉદ્યોગના નેતાઓએ ISO/IEC 27001 પ્રમાણપત્ર પ્રાપ્ત કર્યું છે, જેણે અન્ય તમામ મુખ્ય પ્રદાતાઓને (અમારા સહિત) આ મુદ્દા વિશે વિચારવાની ફરજ પાડી છે. નિઃશંકપણે, કંપનીની માર્કેટિંગ સામગ્રીમાં એક સુંદર લાઇન - વેબસાઇટ પર, સામાજિક નેટવર્ક્સ પર, જાહેરાત બ્રોશરોમાં, વગેરે. - એક સુખદ બોનસ ગણી શકાય, પરંતુ શું તેના માટે ઘણા સંસાધનો ખર્ચવા યોગ્ય છે? અમે અમારા માટે નક્કી કર્યું કે અમારા માટે આ એક સુંદર લાઇન કરતાં વધુ છે, અને અમે આ પ્રોજેક્ટમાં સામેલ થયા.

સોર્સ: www.habr.com