ISO 27001 નો અમલ કેવી રીતે કરવો: ઉપયોગ માટેની સૂચનાઓ

આજે, કંપનીઓની માહિતી સુરક્ષા (ત્યારબાદ - IS) નો મુદ્દો વિશ્વમાં સૌથી વધુ સુસંગત છે. અને આ આશ્ચર્યજનક નથી, કારણ કે ઘણા દેશોમાં વ્યક્તિગત ડેટા સંગ્રહિત અને પ્રક્રિયા કરતી સંસ્થાઓ માટે આવશ્યકતાઓને કડક બનાવવામાં આવી છે. હાલમાં, રશિયન કાયદા માટે જરૂરી છે કે દસ્તાવેજના પ્રવાહનો નોંધપાત્ર પ્રમાણ કાગળના સ્વરૂપમાં રાખવામાં આવે. તે જ સમયે, ડિજિટલાઇઝેશન તરફનું વલણ નોંધપાત્ર છે: ઘણી કંપનીઓ પહેલેથી જ ડિજિટલ ફોર્મેટમાં અને કાગળના દસ્તાવેજોના સ્વરૂપમાં મોટી માત્રામાં ગોપનીય માહિતીનો સંગ્રહ કરે છે.

પરિણામો અનુસાર સર્વેક્ષણ એન્ટિ-મૉલવેર એનાલિટિકલ સેન્ટરના, 86% ઉત્તરદાતાઓએ નોંધ્યું હતું કે વર્ષ દરમિયાન તેઓએ ઓછામાં ઓછા એક વખત સાયબર હુમલા પછી અથવા વપરાશકર્તાઓ દ્વારા સ્થાપિત નિયમોના ઉલ્લંઘનના પરિણામે ઘટનાઓને ઉકેલવી પડી હતી. આ સંદર્ભમાં, વ્યવસાયમાં માહિતી સુરક્ષા પર અગ્રતા ધ્યાન આપવાની આવશ્યકતા બની ગઈ છે.

હાલમાં, કોર્પોરેટ માહિતી સુરક્ષા એ એન્ટીવાયરસ અથવા ફાયરવોલ જેવા તકનીકી માધ્યમોનું એક જટિલ જ નથી, તે સામાન્ય રીતે કંપનીની સંપત્તિઓ અને ખાસ કરીને માહિતીને નિયંત્રિત કરવા માટે પહેલેથી જ એક સંકલિત અભિગમ છે. આ સમસ્યાઓ ઉકેલવા માટે કંપનીઓ પાસે વિવિધ અભિગમો છે. આજે આપણે આવી સમસ્યાના ઉકેલ તરીકે આંતરરાષ્ટ્રીય ધોરણ ISO 27001 ના અમલીકરણ વિશે વાત કરવા માંગીએ છીએ. રશિયન બજારમાં કંપનીઓ માટે, આવા પ્રમાણપત્રની હાજરી વિદેશી ગ્રાહકો અને ભાગીદારો સાથેની ક્રિયાપ્રતિક્રિયાને સરળ બનાવે છે જેમની આ બાબતમાં ઉચ્ચ આવશ્યકતાઓ છે. ISO 27001 પશ્ચિમમાં વ્યાપકપણે ઉપયોગમાં લેવાય છે અને તે માહિતી સુરક્ષા આવશ્યકતાઓને આવરી લે છે જે ઉપયોગમાં લેવાતા તકનીકી ઉકેલો દ્વારા આવરી લેવામાં આવવી જોઈએ, તેમજ વ્યવસાય પ્રક્રિયાઓને બનાવવામાં મદદ કરે છે. આમ, આ ધોરણ તમારા સ્પર્ધાત્મક લાભ અને વિદેશી કંપનીઓ સાથે સંપર્કનું બિંદુ બની શકે છે.

ઇન્ફર્મેશન સિક્યુરિટી મેનેજમેન્ટ સિસ્ટમ (ત્યારબાદ - ISMS) ના આ પ્રમાણપત્રે ISMS ને ડિઝાઇન કરવા માટેની શ્રેષ્ઠ પદ્ધતિઓ એકત્રિત કરી છે અને, અગત્યનું, સિસ્ટમની કામગીરીને સુનિશ્ચિત કરવા માટે નિયંત્રણો પસંદ કરવાની સંભાવના, તકનીકી સુરક્ષા માટેની જરૂરિયાતો અને તે પણ પૂરી પાડવામાં આવી છે. કંપનીમાં કર્મચારી સંચાલન પ્રક્રિયા. છેવટે, તે સમજવું જરૂરી છે કે તકનીકી નિષ્ફળતા એ સમસ્યાનો માત્ર એક ભાગ છે. માહિતી સુરક્ષાની બાબતોમાં, માનવ પરિબળ દ્વારા એક વિશાળ ભૂમિકા ભજવવામાં આવે છે, જેને બાકાત રાખવું અથવા ઓછું કરવું વધુ મુશ્કેલ છે.

જો તમારી કંપની ISO 27001 પ્રમાણિત બનવા જઈ રહી છે, તો તમે તેને કરવા માટેનો એક સરળ રસ્તો શોધવાનો પ્રયાસ કર્યો હશે. અમારે તમને નિરાશ કરવા પડશે: અહીં કોઈ સરળ માર્ગો નથી. જો કે, ત્યાં અમુક પગલાં છે જે સંસ્થાને આંતરરાષ્ટ્રીય માહિતી સુરક્ષા જરૂરિયાતો માટે તૈયાર કરવામાં મદદ કરશે:

1. મેનેજમેન્ટ તરફથી સપોર્ટ મેળવો

તમને લાગે છે કે આ સ્પષ્ટ છે, પરંતુ વ્યવહારમાં આ મુદ્દાને ઘણીવાર અવગણવામાં આવે છે. તદુપરાંત, ISO 27001 ને અમલમાં મૂકવાના પ્રોજેક્ટ્સ ઘણીવાર નિષ્ફળ જાય છે તેનું આ એક મુખ્ય કારણ છે. ધોરણને અમલમાં મૂકવા માટેના પ્રોજેક્ટના મહત્વને સમજ્યા વિના, મેનેજમેન્ટ પ્રમાણપત્ર માટે પૂરતા માનવ સંસાધનો અથવા પર્યાપ્ત બજેટ પ્રદાન કરશે નહીં.

2. પ્રમાણપત્ર તૈયારી યોજના વિકસાવો

ISO 27001 સર્ટિફિકેશન માટે તૈયારી કરવી એ એક જટિલ કાર્ય છે જેમાં ઘણાં વિવિધ પ્રકારનાં કામનો સમાવેશ થાય છે, તેમાં મોટી સંખ્યામાં લોકોની સંડોવણી જરૂરી છે અને તેમાં ઘણા મહિનાઓ (અથવા વર્ષો પણ) લાગી શકે છે. તેથી, વિગતવાર પ્રોજેક્ટ પ્લાન બનાવવો ખૂબ જ મહત્વપૂર્ણ છે: સખત રીતે વ્યાખ્યાયિત કાર્યો માટે સંસાધનો, સમય અને લોકોની સંડોવણીની ફાળવણી કરો અને સમયમર્યાદાના પાલનનું નિરીક્ષણ કરો - અન્યથા તમે ક્યારેય કામ પૂર્ણ કરી શકશો નહીં.

3. પ્રમાણપત્ર પરિમિતિ નક્કી કરો

જો તમારી પાસે વૈવિધ્યસભર પ્રવૃત્તિઓ ધરાવતું મોટું સંગઠન છે, તો કંપનીના વ્યવસાયના માત્ર ભાગને જ ISO 27001 પ્રમાણિત કરવામાં કદાચ અર્થપૂર્ણ છે, જે તમારા પ્રોજેક્ટના જોખમો તેમજ તેના સમય અને ખર્ચમાં નોંધપાત્ર ઘટાડો કરશે.

4. માહિતી સુરક્ષા નીતિ વિકસાવો

સૌથી મહત્વપૂર્ણ દસ્તાવેજોમાંનું એક કંપનીની માહિતી સુરક્ષા નીતિ છે. તે માહિતી સુરક્ષાના ક્ષેત્રમાં તમારી કંપનીના લક્ષ્યો અને માહિતી સુરક્ષા વ્યવસ્થાપનના મૂળભૂત સિદ્ધાંતોને પ્રતિબિંબિત કરવા જોઈએ, જે તમામ કર્મચારીઓ દ્વારા અવલોકન કરવું આવશ્યક છે. આ દસ્તાવેજનો હેતુ એ વ્યાખ્યાયિત કરવાનો છે કે કંપનીનું મેનેજમેન્ટ માહિતી સુરક્ષાના ક્ષેત્રમાં શું હાંસલ કરવા માંગે છે, તેમજ આને કેવી રીતે લાગુ અને નિયંત્રિત કરવામાં આવશે.

5. જોખમ આકારણી પદ્ધતિ વ્યાખ્યાયિત કરો

જોખમોનું મૂલ્યાંકન અને સંચાલન કરવા માટેના નિયમોની વ્યાખ્યા કરવી એ સૌથી મુશ્કેલ કાર્યોમાંનું એક છે. તે સમજવું અગત્યનું છે કે કંપની કયા જોખમોને સ્વીકાર્ય ગણી શકે છે અને જેને ઘટાડવા માટે તાત્કાલિક પગલાં લેવાની જરૂર છે. આ નિયમો વિના, ISMS કામ કરશે નહીં.
તે જ સમયે, જોખમો ઘટાડવા માટે લેવામાં આવેલા વિકસિત પગલાંની પર્યાપ્તતાને યાદ રાખવા યોગ્ય છે. પરંતુ તમારે ઑપ્ટિમાઇઝેશન પ્રક્રિયામાં વધુ પડતું ન જવું જોઈએ, કારણ કે તેમાં અન્ય બાબતોની સાથે, મોટા સમય અથવા નાણાકીય ખર્ચનો સમાવેશ થાય છે, અથવા તે ફક્ત અશક્ય હોઈ શકે છે. અમે ભલામણ કરીએ છીએ કે તમે જોખમ ઘટાડવાનાં પગલાં વિકસાવતી વખતે "લઘુત્તમ પર્યાપ્તતા" ના સિદ્ધાંતનો ઉપયોગ કરો.

6. માન્ય પદ્ધતિ અનુસાર જોખમોનું સંચાલન કરો

આગળનો તબક્કો એ જોખમ વ્યવસ્થાપન પદ્ધતિની સુસંગત એપ્લિકેશન છે, એટલે કે, તેમનું મૂલ્યાંકન અને પ્રક્રિયા. આ પ્રક્રિયા ખૂબ કાળજી સાથે નિયમિત ધોરણે હાથ ધરવામાં આવશ્યક છે. માહિતી સુરક્ષા જોખમ રજીસ્ટરને અદ્યતન રાખીને, તમે કંપનીના સંસાધનો અસરકારક રીતે ફાળવી શકો છો અને ગંભીર ઘટનાઓને અટકાવી શકો છો.

7. તમારી જોખમ સારવારની યોજના બનાવો

જોખમો કે જે તમારી કંપનીને સ્વીકાર્ય સ્તર કરતાં વધી જાય તે જોખમ સારવાર યોજનામાં શામેલ હોવા જોઈએ. તેમાં જોખમો ઘટાડવાના હેતુથી કરવામાં આવેલી ક્રિયાઓ તેમજ તેમના માટે જવાબદાર વ્યક્તિઓ અને સમયની નોંધ કરવી જોઈએ.

8. લાગુ પડતું નિવેદન પૂર્ણ કરો

આ મુખ્ય દસ્તાવેજ છે જે ઓડિટ દરમિયાન પ્રમાણિત અધિકારી દ્વારા તપાસવામાં આવશે. તે તમારી કંપનીની કામગીરી પર કયા માહિતી સુરક્ષા નિયંત્રણો લાગુ પડે છે તેનું વર્ણન કરવું જોઈએ.

9. નક્કી કરો કે માહિતી સુરક્ષા નિયંત્રણોની અસરકારકતા કેવી રીતે માપવામાં આવશે

કોઈપણ ક્રિયાનું પરિણામ હોવું જોઈએ જે સ્થાપિત લક્ષ્યોની પરિપૂર્ણતા તરફ દોરી જાય છે. તેથી, તે માપદંડોને સ્પષ્ટપણે વ્યાખ્યાયિત કરવું મહત્વપૂર્ણ છે કે જેના દ્વારા સમગ્ર માહિતી સુરક્ષા વ્યવસ્થાપન પ્રણાલી માટે અને પ્રયોજ્યતા પરિશિષ્ટમાંથી દરેક પસંદ કરેલ નિયંત્રણ પદ્ધતિ માટે હેતુઓની સિદ્ધિને માપવામાં આવશે.

10. માહિતી સુરક્ષા નિયંત્રણો લાગુ કરો

અને અગાઉના તમામ પગલાં અમલમાં મૂક્યા પછી જ, તમારે લાગુ પડતા પરિશિષ્ટમાંથી લાગુ પડતા માહિતી સુરક્ષા નિયંત્રણોને અમલમાં મૂકવાની જરૂર છે. અહીં સૌથી મોટો પડકાર, અલબત્ત, તમારી સંસ્થાની ઘણી પ્રક્રિયાઓમાં વસ્તુઓ કરવાની સંપૂર્ણ નવી રીતનો અમલ હશે. લોકો સામાન્ય રીતે નવી નીતિઓ અને પ્રક્રિયાઓનો પ્રતિકાર કરે છે, તેથી આગલા મુદ્દા પર ધ્યાન આપો.

11. કર્મચારી તાલીમ કાર્યક્રમોનો અમલ કરો

ઉપર વર્ણવેલ તમામ મુદ્દાઓ અર્થહીન હશે જો તમારા કર્મચારીઓ પ્રોજેક્ટના મહત્વને સમજતા નથી અને માહિતી સુરક્ષા નીતિઓ અનુસાર કાર્ય કરતા નથી. જો તમે ઇચ્છો છો કે તમારો સ્ટાફ તમામ નવા નિયમોનું પાલન કરે, તો તમારે પહેલા લોકોને સમજાવવાની જરૂર છે કે તેઓની શા માટે જરૂર છે, અને પછી ISMS પર તાલીમ પૂરી પાડવી, કર્મચારીઓએ તેમના રોજિંદા કામમાં ધ્યાનમાં લેવી જોઈએ તેવી તમામ મહત્વપૂર્ણ નીતિઓને પ્રકાશિત કરવી. ISO 27001 પ્રોજેક્ટ નિષ્ફળ થવા માટે સ્ટાફની તાલીમનો અભાવ એ એક સામાન્ય કારણ છે.

12. ISMS પ્રક્રિયાઓ જાળવો

આ સમયે, ISO 27001 તમારી સંસ્થામાં રોજિંદી દિનચર્યા બની જાય છે. માનક અનુસાર માહિતી સુરક્ષા નિયંત્રણોના અમલીકરણની પુષ્ટિ કરવા માટે, ઓડિટર્સે રેકોર્ડ્સ પ્રદાન કરવાની જરૂર પડશે - નિયંત્રણોની વાસ્તવિક કામગીરીના પુરાવા. પરંતુ પ્રથમ અને અગ્રણી, તમારા કર્મચારીઓ (અને સપ્લાયર્સ) મંજૂર નિયમો અનુસાર તેમના કાર્યો કરી રહ્યા છે કે કેમ તેનો ટ્રૅક રાખવામાં તમને રેકોર્ડ્સ મદદ કરશે.

13. ISMS ને મોનિટર કરો

તમારા ISMS નું શું થાય છે? તમારી પાસે કેટલી ઘટનાઓ છે, તે કેવા પ્રકારની છે? શું બધી પ્રક્રિયાઓ યોગ્ય રીતે અનુસરવામાં આવે છે? આ પ્રશ્નો સાથે, તમારે તપાસ કરવી જોઈએ કે શું કંપની તેના માહિતી સુરક્ષા લક્ષ્યો હાંસલ કરી રહી છે. જો નહિં, તો તમારે પરિસ્થિતિને સુધારવા માટે એક યોજના વિકસાવવી આવશ્યક છે.

14. ISMS નું આંતરિક ઓડિટ કરો

આંતરિક ઓડિટનો હેતુ કંપનીની વાસ્તવિક પ્રક્રિયાઓ અને માન્ય IS નીતિઓ વચ્ચેની વિસંગતતાને છતી કરવાનો છે. મોટેભાગે, તમારા કર્મચારીઓ નિયમોનું પાલન કેવી રીતે કરે છે તેની આ એક કસોટી છે. આ એક ખૂબ જ મહત્વપૂર્ણ મુદ્દો છે, કારણ કે જો તમે તમારા સ્ટાફના કામ પર નિયંત્રણ રાખતા નથી, તો સંસ્થાને નુકસાન થઈ શકે છે (ઈરાદાપૂર્વક અથવા અજાણતાં). પરંતુ અહીં મુદ્દો ગુનેગારોને શોધવાનો અને નીતિઓનું પાલન ન કરવા બદલ તેમના પર શિસ્તબદ્ધ પ્રતિબંધો લાદવાનો નથી, પરંતુ પરિસ્થિતિને સુધારવા અને ભવિષ્યની સમસ્યાઓને રોકવાનો છે.

15. વ્યવસ્થાપન સમીક્ષા ગોઠવો

મેનેજમેન્ટને તમારી ફાયરવોલ સેટ કરવાની જરૂર નથી, પરંતુ તેમને એ જાણવાની જરૂર છે કે ISMSમાં શું ચાલી રહ્યું છે, ઉદાહરણ તરીકે, શું તેઓ તેમની તમામ જવાબદારીઓ નિભાવી રહ્યા છે અને શું ISMS તેના ઇચ્છિત પરિણામો પ્રાપ્ત કરી રહ્યા છે. આના આધારે, મેનેજમેન્ટે ISMS અને આંતરિક વ્યવસાય પ્રક્રિયાઓને સુધારવા માટે મુખ્ય નિર્ણયો લેવા જોઈએ.

16. સુધારાત્મક અને નિવારક ક્રિયાઓની સિસ્ટમનો પરિચય આપો

કોઈપણ ધોરણની જેમ, ISO 27001 ને "સતત સુધારણા"ની જરૂર છે: માહિતી સુરક્ષા વ્યવસ્થાપન પ્રણાલીમાં વ્યવસ્થિત સુધારણા અને વિસંગતતાઓનું નિવારણ. સુધારાત્મક અને નિવારક ક્રિયાઓ અસંગતતાને સુધારી શકે છે અને ભવિષ્યમાં તેની પુનરાવૃત્તિ અટકાવી શકે છે.

નિષ્કર્ષમાં, હું કહેવા માંગુ છું કે પ્રમાણિત મેળવવું તે ખરેખર વધુ મુશ્કેલ છે તેના કરતાં તે વિવિધ સ્રોતોમાં વર્ણવેલ છે. પુષ્ટિ એ હકીકત છે કે આજે રશિયામાં જ 78 કંપનીઓ પાલન માટે પ્રમાણિત કરવામાં આવ્યા છે. તે જ સમયે, વિદેશમાં તે સૌથી લોકપ્રિય ધોરણોમાંનું એક છે જે માહિતી સુરક્ષાના ક્ષેત્રમાં વ્યવસાયની વધતી જતી જરૂરિયાતોને પૂર્ણ કરે છે. અમલીકરણ માટેની આવી માંગ માત્ર ધમકીઓના પ્રકારોના વિકાસ અને ગૂંચવણને કારણે જ નહીં, પરંતુ કાયદાની જરૂરિયાતો તેમજ ગ્રાહકોને તેમના ડેટાની સંપૂર્ણ ગુપ્તતા જાળવવાની જરૂર છે.

ISMS સર્ટિફિકેશન એ સરળ કાર્ય નથી તે હકીકત હોવા છતાં, આંતરરાષ્ટ્રીય ધોરણ ISO/IEC 27001 ની જરૂરિયાતોને પૂર્ણ કરવાની માત્ર હકીકત વૈશ્વિક બજારમાં ગંભીર સ્પર્ધાત્મક લાભ આપી શકે છે. અમે આશા રાખીએ છીએ કે અમારા લેખે પ્રમાણપત્ર માટે કંપનીને તૈયાર કરવાના મુખ્ય તબક્કાઓની પ્રાથમિક સમજ આપી છે.

સોર્સ: www.habr.com