आईएसओ/आईईसी 5 प्रमाणन की अनिवार्यता के 27001 चरण। अवसाद

परिवर्तन के प्रति भावनात्मक प्रतिक्रिया का चौथा चरण अवसाद है। इस लेख में हम आपको सबसे लंबे और अप्रिय चरण से गुजरने के अपने अनुभव के बारे में बताएंगे - आईएसओ 27001 मानक के अनुपालन को प्राप्त करने के लिए कंपनी की व्यावसायिक प्रक्रियाओं में बदलाव के बारे में।

उम्मीद

प्रमाणन संस्था और सलाहकार का चयन करने के बाद हमने खुद से पहला सवाल यह पूछा कि सभी आवश्यक बदलाव करने के लिए हमें वास्तव में कितना समय चाहिए होगा?

प्रारंभिक कार्य योजना इस प्रकार निर्धारित की गई थी कि हमें इसे 3 महीने के भीतर पूरा करना था।

सब कुछ सरल लग रहा था: कुछ दर्जन नीतियां लिखना और हमारी आंतरिक प्रक्रियाओं को थोड़ा बदलना आवश्यक था; फिर सहकर्मियों को बदलावों के बारे में प्रशिक्षित करें और अगले 3 महीने तक प्रतीक्षा करें (ताकि "रिकॉर्ड" सामने आएं, यानी नीतियों के कामकाज का सबूत)। ऐसा लग रहा था कि बस इतना ही - और प्रमाणपत्र हमारी जेब में था।

इसके अलावा, हम शुरू से ही नीतियां नहीं लिखने जा रहे थे - आखिरकार, हमारे पास एक सलाहकार था, जो, जैसा कि हमने सोचा था, हमें सभी "सही" टेम्पलेट देने वाला था।

इन निष्कर्षों के परिणामस्वरूप, हमने प्रत्येक नीति को तैयार करने के लिए 3 दिन आवंटित किए।

तकनीकी परिवर्तन भी कठिन नहीं लग रहे थे: घटनाओं के संग्रह और भंडारण को स्थापित करना आवश्यक था, यह जांचना कि बैकअप हमारे द्वारा लिखी गई नीति का अनुपालन करता है या नहीं, जहां आवश्यक हो, एक्सेस कंट्रोल सिस्टम के साथ कार्यालयों को फिर से स्थापित करना, और कुछ अन्य छोटी चीजें .
प्रमाणन के लिए आवश्यक सभी चीजें तैयार करने वाली टीम में दो लोग शामिल थे। हमने योजना बनाई कि वे अपनी मुख्य जिम्मेदारियों के समानांतर कार्यान्वयन में शामिल होंगे, और इसमें उनमें से प्रत्येक को प्रतिदिन अधिकतम 1,5-2 घंटे लगेंगे।
संक्षेप में, हम कह सकते हैं कि कार्य के आगामी दायरे के बारे में हमारा दृष्टिकोण काफी आशावादी था।

वास्तविकता

वास्तव में, सब कुछ स्वाभाविक रूप से अलग था: सलाहकार द्वारा प्रदान किए गए नीति टेम्पलेट हमारी कंपनी के लिए अधिकतर अनुपयुक्त साबित हुए; क्या और कैसे करना है इसके बारे में इंटरनेट पर लगभग कोई स्पष्ट जानकारी नहीं थी। जैसा कि आप कल्पना कर सकते हैं, "3 दिनों में एक पॉलिसी लिखने" की योजना बुरी तरह विफल रही। इसलिए हमने परियोजना की शुरुआत से ही समय-सीमा पूरी करना बंद कर दिया और हमारा मूड धीरे-धीरे ख़राब होने लगा।

टीम की विशेषज्ञता अत्यंत छोटी थी - इतनी अधिक कि सलाहकार से सही प्रश्न पूछने के लिए भी पर्याप्त नहीं थी (जिसने, वैसे, बहुत अधिक पहल नहीं दिखाई)। चीजें और भी धीमी गति से चलने लगीं, कार्यान्वयन शुरू होने के 3 महीने बाद (यानी, उस समय जब सब कुछ तैयार होना चाहिए था), दो प्रमुख प्रतिभागियों में से एक ने टीम छोड़ दी। उनकी जगह आईटी सेवा के एक नए प्रमुख को नियुक्त किया गया, जिन्हें कार्यान्वयन प्रक्रिया को शीघ्रता से पूरा करना था और सूचना सुरक्षा प्रबंधन प्रणाली को तकनीकी दृष्टिकोण से सबसे आवश्यक हर चीज प्रदान करनी थी। काम कठिन लग रहा था... जिम्मेदार लोग उदास होने लगे।

इसके अलावा, मुद्दे के तकनीकी पक्ष में भी "बारीकियाँ" सामने आईं। हमें वर्कस्टेशन और सर्वर उपकरण दोनों पर वैश्विक सॉफ्टवेयर आधुनिकीकरण के कार्य का सामना करना पड़ रहा है। घटनाओं (लॉग) को एकत्र करने के लिए सिस्टम स्थापित करते समय, यह पता चला कि हमारे पास सिस्टम के सामान्य कामकाज के लिए पर्याप्त हार्डवेयर संसाधन नहीं थे। और बैकअप सॉफ़्टवेयर को भी आधुनिकीकरण की आवश्यकता थी।

स्पॉइलर: परिणामस्वरूप, आईएसएमएस को 6 महीनों में वीरतापूर्वक लागू किया गया। और कोई मरा भी नहीं!

सबसे ज़्यादा क्या बदलाव आया है?

बेशक, मानक के कार्यान्वयन के दौरान, कंपनी की प्रक्रियाओं में बड़ी संख्या में छोटे बदलाव हुए। हमने आपके लिए सबसे महत्वपूर्ण परिवर्तनों पर प्रकाश डाला है:

• जोखिम मूल्यांकन प्रक्रिया को औपचारिक बनाना

पहले, कंपनी के पास कोई औपचारिक जोखिम मूल्यांकन प्रक्रिया नहीं थी - यह केवल समग्र रणनीतिक योजना के हिस्से के रूप में किया जाता था। प्रमाणन के हिस्से के रूप में हल किए गए सबसे महत्वपूर्ण कार्यों में से एक कंपनी की जोखिम मूल्यांकन नीति का कार्यान्वयन था, जो इस प्रक्रिया के सभी चरणों और प्रत्येक चरण के लिए जिम्मेदार व्यक्तियों का वर्णन करता है।

• हटाने योग्य भंडारण मीडिया पर नियंत्रण

व्यवसाय के लिए महत्वपूर्ण जोखिमों में से एक अनएन्क्रिप्टेड यूएसबी फ्लैश ड्राइव का उपयोग था: वास्तव में, कोई भी कर्मचारी अपने पास उपलब्ध किसी भी जानकारी को फ्लैश ड्राइव पर लिख सकता था और, सबसे अच्छा, इसे खो सकता था। प्रमाणीकरण के भाग के रूप में, सभी कर्मचारी कार्यस्थानों पर फ्लैश ड्राइव पर किसी भी जानकारी को डाउनलोड करने की क्षमता अक्षम कर दी गई थी - जानकारी रिकॉर्ड करना केवल आईटी विभाग के लिए एक आवेदन के माध्यम से संभव हो गया था।

• सुपर उपयोगकर्ता नियंत्रण

मुख्य समस्याओं में से एक यह तथ्य था कि सभी आईटी विभाग के कर्मचारियों के पास सभी कंपनी प्रणालियों में पूर्ण अधिकार थे - उनके पास सभी सूचनाओं तक पहुंच थी। साथ ही, वास्तव में किसी ने उन पर नियंत्रण नहीं किया।

हमने एक डेटा लॉस प्रिवेंशन (डीएलपी) प्रणाली लागू की है - कर्मचारी कार्यों की निगरानी के लिए एक कार्यक्रम जो खतरनाक और अनुत्पादक गतिविधियों का विश्लेषण, ब्लॉक और अलर्ट करता है। अब आईटी विभाग के कर्मचारियों की गतिविधियों के बारे में अलर्ट कंपनी के परिचालन निदेशक के ईमेल पते पर भेजा जाता है।

• सूचना अवसंरचना को व्यवस्थित करने का दृष्टिकोण

प्रमाणन के लिए वैश्विक परिवर्तन और दृष्टिकोण की आवश्यकता है। हाँ, बढ़ते लोड के कारण हमें कई सर्वर उपकरण अपग्रेड करने पड़े। विशेष रूप से, हमने इवेंट संग्रह प्रणालियों के लिए एक अलग सर्वर समर्पित किया है। सर्वर बड़े और तेज़ SSD ड्राइव से सुसज्जित था। हमने बैकअप सॉफ़्टवेयर को त्याग दिया और स्टोरेज सिस्टम का विकल्प चुना जिसमें सभी आवश्यक कार्यक्षमताएं शामिल हैं। हमने "कोड के रूप में बुनियादी ढांचे" की अवधारणा की दिशा में कई बड़े कदम उठाए, जिससे हमें कई सर्वरों के बैकअप को समाप्त करके बहुत सारे डिस्क स्थान को बचाने की अनुमति मिली। सबसे कम संभव समय (1 सप्ताह) में, वर्कस्टेशन पर सभी सॉफ़्टवेयर को Win10 में अपग्रेड कर दिया गया। आधुनिकीकरण द्वारा हल किए गए मुद्दों में से एक एन्क्रिप्शन को सक्षम करने की क्षमता थी (प्रो संस्करण में)।

• कागजी दस्तावेज़ों पर नियंत्रण

कंपनी के पास कागजी दस्तावेजों के उपयोग से जुड़े महत्वपूर्ण जोखिम थे: वे खो सकते थे, गलत जगह पर छोड़े जा सकते थे, या अनुचित तरीके से नष्ट हो सकते थे। इस जोखिम को कम करने के लिए, हमने सभी कागज़ी दस्तावेज़ों को गोपनीयता के स्तर के अनुसार चिह्नित किया है और विभिन्न प्रकार के दस्तावेज़ों को नष्ट करने की एक प्रक्रिया विकसित की है। अब, जब कोई कर्मचारी कोई फ़ोल्डर खोलता है या कोई दस्तावेज़ लेता है, तो उसे पता होता है कि यह जानकारी किस श्रेणी में आती है और इसे कैसे संभालना है।

• बैकअप डेटा सेंटर किराये पर लेना

पहले, कंपनी की सभी जानकारी तृतीय-पक्ष सुरक्षित डेटा केंद्र में स्थित सर्वर पर संग्रहीत की जाती थी। हालाँकि, इस डेटा सेंटर में कोई आपातकालीन प्रक्रियाएँ नहीं थीं। समाधान एक बैकअप क्लाउड डेटा सेंटर किराए पर लेना और वहां सबसे महत्वपूर्ण जानकारी का बैकअप लेना था। वर्तमान में, कंपनी की जानकारी भौगोलिक रूप से दूरस्थ दो डेटा केंद्रों में संग्रहीत की जाती है, जिससे इसके नुकसान का जोखिम कम हो जाता है।

• व्यवसाय निरंतरता परीक्षण

हमारी कंपनी में कई वर्षों से व्यवसाय निरंतरता नीति (बीसीपी) लागू है, जो बताती है कि कर्मचारियों को विभिन्न नकारात्मक परिदृश्यों (कार्यालय तक पहुंच की हानि, महामारी, बिजली कटौती, आदि) में क्या करना चाहिए। हालाँकि, हमने कभी भी निरंतरता परीक्षण नहीं किया है - यानी, हमने कभी नहीं मापा है कि इनमें से प्रत्येक स्थिति में व्यवसाय को बहाल करने में कितना समय लगेगा। प्रमाणन ऑडिट की तैयारी में, हमने न केवल ऐसा किया, बल्कि आने वाले वर्ष के लिए एक व्यवसाय निरंतरता परीक्षण योजना भी विकसित की। यह ध्यान देने योग्य है कि एक साल बाद, जब हमें पूरी तरह से दूरस्थ कार्य पर स्विच करने की आवश्यकता का सामना करना पड़ा, तो हमने इस कार्य को तीन दिनों में पूरा किया।

नोट करने के लिए महत्वपूर्ण, कि प्रमाणन की तैयारी करने वाली सभी कंपनियों की शुरुआती शर्तें अलग-अलग होती हैं - इसलिए, आपके मामले में, पूरी तरह से अलग बदलाव की आवश्यकता हो सकती है।

परिवर्तनों पर कर्मचारी की प्रतिक्रियाएँ

अजीब बात है - यहाँ हमें सबसे खराब की उम्मीद थी - यह इतना बुरा नहीं निकला। यह तो नहीं कहा जा सकता कि सहकर्मियों को प्रमाणीकरण की खबर बड़े उत्साह से मिली, लेकिन निम्नलिखित स्पष्ट था:

• सभी प्रमुख कर्मचारियों ने इस आयोजन के महत्व और अनिवार्यता को समझा;
• अन्य सभी कर्मचारी प्रमुख कर्मचारियों की ओर आदर भाव से देखते थे।

बेशक, हमारे उद्योग की बारीकियों ने हमें बहुत मदद की - लेखांकन कार्यों की आउटसोर्सिंग। हमारे अधिकांश कर्मचारी रूसी कानून में निरंतर बदलावों का अच्छी तरह से सामना करते हैं। तदनुसार, कुछ दर्जन नए नियमों का परिचय, जिनका अब पालन किया जाना चाहिए, उनके लिए कोई सामान्य बात नहीं थी।

हमने अपने सभी कर्मचारियों के लिए नया अनिवार्य ISO 27001 प्रशिक्षण और परीक्षण तैयार किया है। सभी ने आज्ञाकारी ढंग से अपने मॉनिटर से पासवर्ड वाले चिपचिपे नोट हटा दिए और दस्तावेज़ों से अटे पड़े डेस्क साफ़ कर दिए। कोई ज़ोरदार असंतोष नज़र नहीं आया - सामान्य तौर पर, हम अपने कर्मचारियों के साथ बहुत भाग्यशाली थे।

इस प्रकार, हम अपनी व्यावसायिक प्रक्रियाओं में परिवर्तन से जुड़े सबसे दर्दनाक चरण - "अवसाद" - को पार कर चुके हैं। यह कठिन और कठिन था, लेकिन अंत में परिणाम हमारी सभी बेतहाशा उम्मीदों से बढ़कर रहा।

श्रृंखला की पिछली सामग्री पढ़ें:

आईएसओ/आईईसी 5 प्रमाणन की अनिवार्यता के 27001 चरण। इनकार: ISO 27001:2013 प्रमाणन के बारे में गलत धारणाएं, प्रमाणपत्र प्राप्त करने की उपयुक्तता।

आईएसओ/आईईसी 5 प्रमाणन की अनिवार्यता के 27001 चरण। गुस्सा: कहां से शुरू करें? आरंभिक डेटा। खर्चे। एक प्रदाता चुनना.

आईएसओ/आईईसी 5 प्रमाणन की अनिवार्यता के 27001 चरण। सौदेबाजी: कार्यान्वयन योजना तैयार करना, जोखिम मूल्यांकन, नीतियां लिखना।

आईएसओ/आईईसी 5 प्रमाणन की अनिवार्यता के 27001 चरण। अवसाद।

आईएसओ/आईईसी 5 प्रमाणन की अनिवार्यता के 27001 चरण। दत्तक ग्रहण।

स्रोत: www.habr.com