आईएसओ/आईईसी 5 प्रमाणन की अनिवार्यता के 27001 चरण। नकार

कंपनी के लिए कोई भी रणनीतिक रूप से महत्वपूर्ण निर्णय लेते समय, कर्मचारी एक बुनियादी रक्षा तंत्र से गुजरते हैं, जिसे परिवर्तन पर प्रतिक्रिया देने के 5 चरणों के रूप में जाना जाता है (ई. कुबलर-रॉस द्वारा)। एक प्रख्यात मनोवैज्ञानिक ने एक बार भावनात्मक प्रतिक्रियाओं का वर्णन करते हुए भावनात्मक प्रतिक्रिया के 5 प्रमुख चरणों पर प्रकाश डाला था: इनकार, क्रोध, नीलाम, मंदी और, अंत में, स्वीकार. हमने ISO 27001 प्रमाणन के लिए समर्पित लेखों की एक श्रृंखला तैयार की है, जहां हम प्रत्येक चरण पर नज़र डालेंगे। आज हम उनमें से पहले के बारे में बात करेंगे - इनकार।

आईएसओ 27001 प्रमाणपत्र "दिखावे के लिए" प्राप्त करना एक बहुत ही संदिग्ध खुशी है, क्योंकि इसके लिए लंबी और महंगी तैयारी की आवश्यकता होती है। इसके अलावा, जैसा कि यह दिखाता है आँकड़े, यह मानक रूसी संघ में बेहद अलोकप्रिय है: आज तक, केवल 70 कंपनियों को अनुपालन के लिए प्रमाणित किया गया है। साथ ही, यह विदेश में सबसे लोकप्रिय मानकों में से एक है, जो सूचना सुरक्षा के क्षेत्र में व्यापार की बढ़ती मांगों को पूरा करता है।

हमारी कंपनी लेखांकन कार्यों के लिए आउटसोर्सिंग सेवाओं की एक पूरी श्रृंखला प्रदान करती है: लेखांकन और कर लेखांकन, पेरोल और कार्मिक प्रशासन। हम बाजार में अग्रणी पदों में से एक पर काबिज हैं, विशेष रूप से इस तथ्य के कारण कि रूस में शाखाओं वाली विदेशी कंपनियां अपनी गोपनीय जानकारी के मामले में हम पर भरोसा करती हैं। यह न केवल हमारे ग्राहकों की वित्तीय प्रक्रियाओं पर लागू होता है, बल्कि उस व्यक्तिगत डेटा पर भी लागू होता है जिसके साथ हम दैनिक आधार पर काम करते हैं। इस संबंध में सूचना सुरक्षा का मुद्दा हमारी प्राथमिकताओं में से एक है।

अक्सर, रूसी डिवीजनों की सभी व्यावसायिक प्रक्रियाओं को विदेशी कंपनियों के प्रधान कार्यालयों द्वारा नियंत्रित और घोषित किया जाता है, और इसलिए उन्हें आंतरिक समूह-व्यापी मानकों का पालन करना होगा। हाल ही में, हमारे कुछ प्रमुख ग्राहकों ने अपनी सुरक्षा नीतियों को कड़ा करने की दिशा में उनमें संशोधन करना शुरू कर दिया है। बेशक, यह साइबर हमलों की बढ़ती संख्या और सूचना सुरक्षा उल्लंघन की घटनाओं से जुड़े नुकसान के वैश्विक रुझान के कारण है। यदि कंपनी की सूचना सुरक्षा बढ़ाने के उद्देश्य से सुरक्षा उपायों, नीतियों और प्रक्रियाओं को लागू करना आवश्यक है, तो आप आईएसओ के बिना कर सकते हैं /आईईसी 27001 प्रमाणन, जिससे बहुत सारा पैसा, समय और परेशानी बचती है।

आज, कंपनी में मौजूदा सूचना सुरक्षा की आवश्यकताएं विदेशी ग्राहकों की निविदाओं में दिखाई देने लगी हैं। कुछ ने, अपने सत्यापन को सरल बनाने और दृष्टिकोण को एकीकृत करने के लिए, एक अनिवार्य मूल्यांकन मानदंड निर्धारित किया है - आईएसओ/आईईसी 27001 प्रमाणन की उपस्थिति।

यहां हमने देखा है: इस मानक से प्रमाणित हमारे प्रमुख अंतरराष्ट्रीय ग्राहकों में से एक ने अपनी वैश्विक सूचना सुरक्षा टीम को काफी मजबूत कर लिया है। हमें इस बारे में कैसे पता चला? उन्होंने हमारी सूचना सुरक्षा प्रबंधन प्रणाली का ऑडिट करने का निर्णय लिया, क्योंकि हम उन्हें लेखांकन सेवाएं और कार्मिक प्रशासन प्रदान करते हैं - और, तदनुसार, हमारी सूचना प्रणाली की सुरक्षा उनके लिए अत्यंत महत्वपूर्ण है। पिछला ऑडिट 3 साल पहले हुआ था - उस समय सब कुछ काफी दर्द रहित तरीके से हुआ था।

इस बार, भारतीयों की एक मित्रवत टीम ने हम पर हमला किया, और चतुराई से हमारी सुरक्षा प्रबंधन प्रणाली में कई दर्जन कमियों का पता लगाया। ऑडिट प्रक्रिया संसार के पहिये के समान थी - ऐसा लगता था कि सिद्धांत रूप में ऑडिट के हिस्से के रूप में किसी अंतिम बिंदु तक पहुंचने का उनका कोई लक्ष्य नहीं था। यह क्लाइंट की आईटी सुरक्षा टीम के लहजे को पहचानने के प्रयासों में सवालों, टिप्पणियों, हमारी टिप्पणियों और उनकी वास्तविकता के साक्ष्य, कॉन्फ्रेंस कॉल और लंबी दार्शनिक बातचीत की एक अंतहीन श्रृंखला थी। वैसे, ऑडिट आज भी अलग-अलग तीव्रता के साथ जारी है - समय के साथ, हम इससे सहमत हो गए हैं। अत: प्रमाणन की आवश्यकता स्वयं ही उत्पन्न हो गई है।

शायद हम ISO 9001 के साथ काम चला सकते हैं?

हर कोई जो आईएसओ मानकों के अनुसार प्रमाणन के मुद्दे में कमोबेश समझदार है, वह समझता है कि उनमें से प्रत्येक का आधार आईएसओ 9001 "गुणवत्ता प्रबंधन प्रणाली" प्रमाणपत्र है। आईएसओ मानकों की संपूर्ण शृंखला में यह शायद वर्तमान में सबसे लोकप्रिय प्रमाणपत्र है। हमारे पास यह नहीं था - और हमने इसे न पाने का निर्णय लिया। इसके बहुत से कारण थे:

• इस प्रमाणपत्र वाली कंपनी की संदिग्ध आर्थिक दक्षता;
• हमारी आंतरिक प्रक्रियाएँ, अधिकांश भाग के लिए, पहले से ही इस मानक के करीब थीं;
• इस प्रमाणपत्र को प्राप्त करने के लिए अतिरिक्त समय और धन की आवश्यकता होगी।

तदनुसार, हमने "लाइटर" 27001 से शुरुआत किए बिना, आईएसओ 9001 को तुरंत लागू करने का निर्णय लिया।

या शायद यह अभी भी आवश्यक नहीं है?

आगे देखते हुए, हम कई बार इस प्रश्न पर लौटे हैं कि क्या इसे प्राप्त करना उचित है। हमने इस मुद्दे का सभी पक्षों से अध्ययन करना शुरू किया, क्योंकि हमारे पास बिल्कुल कोई विशेषज्ञता नहीं थी। और यहां वे गलतफहमियां हैं जिन्होंने हमें इस मुद्दे पर एक बार फिर सोचने पर मजबूर कर दिया।

ग़लतफ़हमी #1.
हमें उम्मीद थी कि मानक हमें एक विस्तृत चेकलिस्ट, नीतियों की एक सूची और अन्य वैधानिक दस्तावेज़ प्रदान करेगा। वास्तव में, यह पता चला कि आईएसओ/आईईसी 27001 स्वयं सूचना सुरक्षा प्रबंधन प्रणाली और बनाई जा रही प्रक्रिया के लिए आवश्यकताओं का एक समूह है। उनके आधार पर, मानक की आवश्यकताओं का अनुपालन करने के लिए हमारी कंपनी में क्या लिखना/कार्यान्वित करना है, यह स्वतंत्र रूप से तय करना आवश्यक था।

ग़लतफ़हमी #2.
हमें ईमानदारी से विश्वास था कि हमारे लिए एक दस्तावेज़ का अध्ययन करना और उसे अपेक्षाकृत कम समय में स्वयं लागू करना पर्याप्त होगा। वास्तव में, दस्तावेज़ को पढ़ते समय, हमें एहसास हुआ कि हमारा मानक कितने संबंधित मानकों से जुड़ा हुआ है, हमें कितने मानकों से परिचित होने की आवश्यकता है (कम से कम सतही तौर पर)। केक पर "चेरी" सार्वजनिक डोमेन में मौजूदा मानकों के ग्रंथों की कमी थी - उन्हें आधिकारिक आईएसओ वेबसाइट पर खरीदा जाना था।

ग़लतफ़हमी #3.
हमें विश्वास था कि हमें प्रमाणन की तैयारी के लिए आवश्यक सभी चीजें खुले स्रोतों में मिल जाएंगी। इंटरनेट पर ISO 27001 पर वास्तव में बहुत सारी सामग्रियाँ थीं, लेकिन उनमें विशिष्टताओं का अभाव था। प्रमाणन की तैयारी के लिए व्यावहारिक रूप से समझने में आसान चरण-दर-चरण निर्देश नहीं थे, साथ ही उन कंपनियों के वास्तविक मामले भी नहीं थे जिन्होंने इस मानक को लागू किया था।

ग़लतफ़हमी #4.
हम नीतियां लिखेंगे, लेकिन वे काम नहीं करेंगी! खैर, यह सच है, हमारी कंपनी के पास पहले से ही बहुत सारे नियम हैं, कोई भी अन्य 3 दर्जन नई नीतियों का पालन नहीं करेगा। वास्तव में, सौभाग्य से, हमारे कर्मचारियों ने जिम्मेदारी से नए नियमों में महारत हासिल करने का काम किया और सूचना सुरक्षा प्रबंधन प्रणाली दस्तावेजों के ज्ञान के लिए सफलतापूर्वक परीक्षण पास किया।

ग़लतफ़हमी #5.
उस समय हम स्पष्ट रूप से यह आकलन नहीं कर सके कि हमारे प्रयासों से हमें क्या लाभ मिलेगा। उस समय, इस प्रमाणपत्र के लिए अनुरोधों की संख्या इतनी बड़ी नहीं थी, और प्रमाणीकरण से बहुत पहले ही हमारे पास हमारा प्रमुख और सबसे अधिक मांग वाला ग्राहक था। अनुभव से पता चला है कि हम बिना किसी मानक के काम कर रहे हैं।

कुछ बिंदु पर, हमें एहसास हुआ कि हम ग्राहकों की आवश्यकताओं के कारण एक या दूसरे उभरते अंतर को अव्यवस्थित रूप से बंद कर रहे थे। हर बार हम कुछ नई नीतियां या समाधान लेकर आए। और हम अंततः स्वतंत्र रूप से इस निष्कर्ष पर पहुंचे कि प्रक्रिया को व्यवस्थित करना बहुत आसान होगा, जिससे भविष्य में हमें बहुत सारी श्रम लागतों से भी बचाया जा सकेगा। मानक का उद्देश्य इस कार्य को सरल बनाना था।

अब, दो साल बाद, हम प्रमुख अंतरराष्ट्रीय ग्राहकों से इस मुद्दे में अनुरोधों और रुचि की संख्या में वृद्धि की प्रवृत्ति देख रहे हैं।

अंतिम निर्णय।

अंत में, हम कहना चाहेंगे कि हमारे उद्योग जगत के नेताओं को ISO/IEC 27001 प्रमाणन प्राप्त हुआ है, जिसने अन्य सभी प्रमुख प्रदाताओं (हमारे सहित) को इस मुद्दे के बारे में सोचने के लिए मजबूर किया है। निस्संदेह, कंपनी की मार्केटिंग सामग्री में एक सुंदर पंक्ति - वेबसाइट पर, सोशल नेटवर्क पर, विज्ञापन ब्रोशर आदि में। - इसे एक सुखद बोनस माना जा सकता है, लेकिन क्या इसके लिए इतने सारे संसाधन खर्च करना उचित है? हमने खुद तय किया कि हमारे लिए यह सिर्फ एक खूबसूरत लाइन से कहीं बढ़कर है और हम इस प्रोजेक्ट में शामिल हो गए।

स्रोत: www.habr.com