5 ຂັ້ນຕອນຂອງການຫຼີກລ່ຽງການຢັ້ງຢືນ ISO/IEC 27001. ການປະຕິເສດ

ໃນເວລາທີ່ເຮັດການຕັດສິນໃຈທີ່ສໍາຄັນທາງຍຸດທະສາດສໍາລັບບໍລິສັດ, ພະນັກງານຜ່ານກົນໄກປ້ອງກັນພື້ນຖານ, ເປັນທີ່ຮູ້ຈັກດີໃນ 5 ຂັ້ນຕອນຂອງການຕອບສະຫນອງຕໍ່ການປ່ຽນແປງ (ໂດຍ E. Kübler-Ross). ນັກຈິດຕະສາດທີ່ມີຊື່ສຽງເຄີຍອະທິບາຍເຖິງປະຕິກິລິຍາທາງອາລົມ, ໂດຍເນັ້ນ 5 ຂັ້ນຕອນຂອງການຕອບໂຕ້ທາງອາລົມ: ການປະຕິເສດ, ຄວາມໃຈຮ້າຍ, ຕໍ່ລອງໄດ້, ການຊຶມເສົ້າ ແລະສຸດທ້າຍ ການຮັບຮອງເອົາ. ພວກເຮົາໄດ້ກະກຽມຊຸດຂອງບົດຄວາມທີ່ອຸທິດຕົນເພື່ອການຢັ້ງຢືນ ISO 27001, ບ່ອນທີ່ພວກເຮົາຈະເບິ່ງຢູ່ໃນແຕ່ລະຂັ້ນຕອນ. ມື້ນີ້ພວກເຮົາຈະເວົ້າກ່ຽວກັບສິ່ງທໍາອິດຂອງພວກເຂົາ - ການປະຕິເສດ.

ການໄດ້ຮັບໃບຢັ້ງຢືນ ISO 27001 "ສໍາລັບການສະແດງ" ແມ່ນຄວາມສຸກທີ່ຫນ້າສົງໄສຫຼາຍ, ເພາະວ່າມັນຕ້ອງການການກະກຽມທີ່ຍາວນານແລະລາຄາແພງ. ຍິ່ງໄປກວ່ານັ້ນ, ຍ້ອນວ່າມັນສະແດງໃຫ້ເຫັນ ສະຖິຕິ, ມາດຕະຖານນີ້ແມ່ນບໍ່ມີຄວາມນິຍົມທີ່ສຸດຢູ່ໃນສະຫະພັນລັດເຊຍ: ມາຮອດປັດຈຸບັນ, ມີພຽງ 70 ບໍລິສັດທີ່ໄດ້ຮັບການຢັ້ງຢືນການປະຕິບັດຕາມ. ພ້ອມກັນນັ້ນ, ນີ້ແມ່ນໜຶ່ງໃນບັນດາມາດຕະຖານທີ່ພົ້ນເດັ່ນຢູ່ຕ່າງປະເທດ, ຕອບສະໜອງຄວາມຮຽກຮ້ອງຕ້ອງການຂອງທຸລະກິດດ້ານຄວາມປອດໄພຂໍ້ມູນຂ່າວສານທີ່ນັບມື້ນັບເພີ່ມຂຶ້ນ.

ບໍລິສັດຂອງພວກເຮົາໃຫ້ບໍລິການດ້ານການອອກບັນຊີເຕັມຮູບແບບ: ບັນຊີແລະບັນຊີພາສີ, ບັນຊີເງິນເດືອນແລະການບໍລິຫານບຸກຄະລາກອນ. ພວກເຮົາຄອບຄອງຫນຶ່ງໃນຕໍາແຫນ່ງຕະຫຼາດຊັ້ນນໍາ, ໂດຍສະເພາະຍ້ອນຄວາມຈິງທີ່ວ່າບໍລິສັດຕ່າງປະເທດທີ່ມີສາຂາໃນລັດເຊຍໄວ້ວາງໃຈພວກເຮົາກັບຂໍ້ມູນລັບຂອງພວກເຂົາ. ນີ້ບໍ່ພຽງແຕ່ໃຊ້ກັບຂະບວນການທາງດ້ານການເງິນຂອງລູກຄ້າຂອງພວກເຮົາ, ແຕ່ຍັງກັບຂໍ້ມູນສ່ວນຕົວທີ່ພວກເຮົາເຮັດວຽກກັບປະຈໍາວັນ. ໃນເລື່ອງນີ້, ບັນຫາຄວາມປອດໄພຂອງຂໍ້ມູນຂ່າວສານແມ່ນຫນຶ່ງໃນບັນດາບູລິມະສິດຂອງພວກເຮົາ.

ເລື້ອຍໆ, ຂະບວນການທຸລະກິດທັງຫມົດຂອງພະແນກພາສາລັດເຊຍຖືກຄວບຄຸມແລະປະກາດໂດຍສໍານັກງານໃຫຍ່ຂອງບໍລິສັດຕ່າງປະເທດ, ແລະດັ່ງນັ້ນພວກເຂົາຕ້ອງປະຕິບັດຕາມມາດຕະຖານພາຍໃນກຸ່ມ. ບໍ່ດົນມານີ້, ລູກຄ້າທີ່ສໍາຄັນຈໍານວນຫນຶ່ງຂອງພວກເຮົາໄດ້ເລີ່ມປັບປຸງນະໂຍບາຍຄວາມປອດໄພຂອງພວກເຂົາໃນທິດທາງທີ່ເຄັ່ງຄັດ. ແນ່ນອນ, ນີ້ແມ່ນຍ້ອນແນວໂນ້ມທົ່ວໂລກໃນຈໍານວນການໂຈມຕີທາງອິນເຕີເນັດທີ່ເພີ່ມຂຶ້ນແລະການສູນເສຍທີ່ກ່ຽວຂ້ອງກັບເຫດການການລະເມີດຄວາມປອດໄພຂອງຂໍ້ມູນ, ຖ້າມັນຈໍາເປັນຕ້ອງປະຕິບັດມາດຕະການປ້ອງກັນ, ນະໂຍບາຍແລະຂັ້ນຕອນທີ່ແນໃສ່ເພີ່ມທະວີຄວາມປອດໄພຂໍ້ມູນຂອງບໍລິສັດ, ທ່ານສາມາດເຮັດໄດ້ໂດຍບໍ່ມີ ISO. ການຢັ້ງຢືນ / IEC 27001, ປະຫຍັດເງິນ, ເວລາແລະເສັ້ນປະສາດຢ່າງຫຼວງຫຼາຍ.

ໃນມື້ນີ້, ຄວາມຕ້ອງການສໍາລັບຄວາມປອດໄພຂໍ້ມູນທີ່ມີຢູ່ໃນບໍລິສັດໄດ້ເລີ່ມປາກົດຢູ່ໃນການປະມູນຈາກລູກຄ້າຕ່າງປະເທດ. ບາງຄົນ, ເພື່ອເຮັດໃຫ້ການຢັ້ງຢືນຂອງເຂົາເຈົ້າງ່າຍດາຍແລະເປັນເອກະພາບ, ກໍານົດເງື່ອນໄຂການປະເມີນຜົນທີ່ບັງຄັບ - ການມີໃບຢັ້ງຢືນ ISO / IEC 27001.

ນີ້ແມ່ນສິ່ງທີ່ພວກເຮົາໄດ້ເຫັນ: ຫນຶ່ງໃນລູກຄ້າສາກົນທີ່ສໍາຄັນຂອງພວກເຮົາທີ່ໄດ້ຮັບການຢັ້ງຢືນມາດຕະຖານນີ້ເບິ່ງຄືວ່າໄດ້ເພີ່ມຄວາມເຂັ້ມແຂງຢ່າງຫຼວງຫຼາຍຂອງທີມງານຄວາມປອດໄພຂໍ້ມູນທົ່ວໂລກ. ພວກເຮົາຮູ້ໄດ້ແນວໃດກ່ຽວກັບເລື່ອງນີ້? ພວກເຂົາເຈົ້າໄດ້ຕັດສິນໃຈທີ່ຈະກວດສອບລະບົບການຄຸ້ມຄອງຄວາມປອດໄພຂໍ້ມູນຂອງພວກເຮົາ, ເພາະວ່າພວກເຮົາສະຫນອງການບໍລິການບັນຊີແລະການບໍລິຫານບຸກຄະລາກອນໃຫ້ເຂົາເຈົ້າ - ແລະ, ຕາມຄວາມເຫມາະສົມ, ຄວາມປອດໄພຂອງລະບົບຂໍ້ມູນຂ່າວສານຂອງພວກເຮົາແມ່ນສໍາຄັນຕໍ່ເຂົາເຈົ້າ. ການກວດສອບທີ່ຜ່ານມາໄດ້ຈັດຂຶ້ນເມື່ອ 3 ປີກ່ອນ - ເວລານັ້ນທຸກສິ່ງທຸກຢ່າງໄດ້ໄປຢ່າງບໍ່ເຈັບປວດ.

ເວລານີ້, ທີມງານທີ່ເປັນມິດຂອງອິນເດຍໄດ້ໂຈມຕີພວກເຮົາ, ຄົ້ນພົບຂໍ້ບົກພ່ອງຫຼາຍຢ່າງໃນລະບົບການຄຸ້ມຄອງຄວາມປອດໄພຂອງພວກເຮົາ. ຂະບວນການກວດສອບໄດ້ຄ້າຍຄືກັບລໍ້ຂອງ Samsara - ມັນເບິ່ງຄືວ່າ, ໃນຫຼັກການ, ພວກເຂົາບໍ່ມີເປົ້າຫມາຍທີ່ຈະໄປເຖິງຈຸດສຸດທ້າຍໃດໆເປັນສ່ວນຫນຶ່ງຂອງການກວດສອບ. ມັນເປັນຄໍາຖາມ, ຄໍາຄິດຄໍາເຫັນ, ຄວາມຄິດເຫັນຂອງພວກເຮົາແລະຫຼັກຖານຂອງຄວາມເປັນຈິງຂອງເຂົາເຈົ້າ, ການປະຊຸມແລະການສົນທະນາ philosophical ຍາວໃນຄວາມພະຍາຍາມເພື່ອຮັບຮູ້ສໍານຽງຂອງທີມງານຄວາມປອດໄພ IT ຂອງລູກຄ້າ. ໂດຍວິທີທາງການ, ການກວດສອບຍັງສືບຕໍ່ມີລະດັບຄວາມເຂັ້ມຂົ້ນທີ່ແຕກຕ່າງກັນຈົນເຖິງທຸກວັນນີ້ - ເມື່ອເວລາຜ່ານໄປ, ພວກເຮົາໄດ້ເຂົ້າໃຈເລື່ອງນີ້. ດັ່ງນັ້ນ, ຄວາມຕ້ອງການສໍາລັບການຢັ້ງຢືນໄດ້ເກີດຂຶ້ນດ້ວຍຕົນເອງ.

ບາງທີພວກເຮົາສາມາດເຮັດໄດ້ດ້ວຍ ISO 9001?

ທຸກໆຄົນທີ່ມີຄວາມເຂົ້າໃຈຫຼາຍຫຼືຫນ້ອຍໃນບັນຫາການຢັ້ງຢືນຕາມມາດຕະຖານ ISO ເຂົ້າໃຈວ່າພື້ນຖານສໍາລັບແຕ່ລະຄົນແມ່ນໃບຢັ້ງຢືນ ISO 9001 "ລະບົບການຄຸ້ມຄອງຄຸນນະພາບ". ນີ້ແມ່ນບາງທີໃບຢັ້ງຢືນທີ່ນິຍົມທີ່ສຸດໃນປະຈຸບັນຢູ່ໃນສາຍທັງຫມົດຂອງມາດຕະຖານ ISO. ພວກເຮົາບໍ່ມີມັນ - ແລະພວກເຮົາຕັດສິນໃຈທີ່ຈະບໍ່ໄດ້ຮັບມັນ. ມີເຫດຜົນຫຼາຍຢ່າງສໍາລັບການນີ້:

• ປະສິດທິພາບທາງດ້ານເສດຖະກິດທີ່ຫນ້າສົງໄສຂອງບໍລິສັດທີ່ມີໃບຢັ້ງຢືນນີ້;
• ຂະບວນການພາຍໃນຂອງພວກເຮົາ, ສໍາລັບສ່ວນໃຫຍ່, ແມ່ນຢູ່ໃກ້ກັບມາດຕະຖານນີ້ແລ້ວ;
• ການໄດ້ຮັບໃບຢັ້ງຢືນນີ້ຈະຕ້ອງໃຊ້ເວລາ ແລະເງິນເພີ່ມເຕີມ.

ຕາມ​ນັ້ນ​ແລ້ວ, ພວກ​ເຮົາ​ໄດ້​ຕັດ​ສິນ​ໃຈ​ປະ​ຕິ​ບັດ ISO 27001 ໃນ​ທັນ​ທີ, ໂດຍ​ບໍ່​ມີ​ການ​ເລີ່ມ​ຕົ້ນ​ດ້ວຍ “ສີ​ມ້ານ” 9001.

ຫຼືບາງທີມັນຍັງບໍ່ຈໍາເປັນ?

ເບິ່ງໄປຂ້າງຫນ້າ, ພວກເຮົາໄດ້ກັບຄືນມາຫຼາຍເທື່ອກັບຄໍາຖາມທີ່ວ່າມັນສົມຄວນທີ່ຈະໄດ້ຮັບມັນ. ພວກເຮົາເລີ່ມສຶກສາບັນຫາຈາກທຸກດ້ານ, ເພາະວ່າພວກເຮົາບໍ່ມີຄວາມຊ່ຽວຊານຢ່າງແທ້ຈິງ. ແລະນີ້ແມ່ນຄວາມເຂົ້າໃຈຜິດທີ່ເຮັດໃຫ້ພວກເຮົາຄິດກ່ຽວກັບບັນຫານີ້ອີກເທື່ອຫນຶ່ງ.

ຄວາມເຂົ້າໃຈຜິດ #1.
ພວກ​ເຮົາ​ຫວັງ​ວ່າ​ມາດ​ຕະ​ຖານ​ຈະ​ໃຫ້​ພວກ​ເຮົາ​ມີ​ລາຍ​ການ​ກວດ​ກາ​ລະ​ອຽດ, ບັນ​ຊີ​ລາຍ​ການ​ຂອງ​ນະ​ໂຍ​ບາຍ​ແລະ​ເອ​ກະ​ສານ​ກົດ​ຫມາຍ​ອື່ນໆ. ໃນ​ຄວາມ​ເປັນ​ຈິງ, ມັນ​ໄດ້​ຫັນ​ອອກ​ວ່າ ISO / IEC 27001 ເປັນ​ຊຸດ​ຂອງ​ຄວາມ​ຕ້ອງ​ການ​ສໍາ​ລັບ​ລະ​ບົບ​ການ​ຄຸ້ມ​ຄອງ​ຄວາມ​ປອດ​ໄພ​ຂໍ້​ມູນ​ຂ່າວ​ສານ​ຕົວ​ມັນ​ເອງ​ແລະ​ຂະ​ບວນ​ການ​ທີ່​ໄດ້​ຮັບ​ການ​ສ້າງ. ອີງໃສ່ພວກມັນ, ມັນຈໍາເປັນຕ້ອງໄດ້ຕັດສິນໃຈຢ່າງເປັນເອກະລາດວ່າຈະຂຽນ / ປະຕິບັດໃນບໍລິສັດຂອງພວກເຮົາເພື່ອປະຕິບັດຕາມຂໍ້ກໍານົດຂອງມາດຕະຖານ.

ຄວາມເຂົ້າໃຈຜິດ #2.
ພວກເຮົາເຊື່ອຢ່າງຈິງໃຈວ່າມັນຈະພຽງພໍສໍາລັບພວກເຮົາທີ່ຈະສຶກສາເອກະສານຫນຶ່ງແລະປະຕິບັດມັນໃນເວລາສັ້ນໆດ້ວຍຕົວເຮົາເອງ. ໃນ​ຄວາມ​ເປັນ​ຈິງ, ໃນ​ຂະ​ນະ​ທີ່​ການ​ອ່ານ​ເອ​ກະ​ສານ, ພວກ​ເຮົາ​ໄດ້​ຮັບ​ຮູ້​ວ່າ​ມາດ​ຕະ​ຖານ​ທີ່​ກ່ຽວ​ຂ້ອງ​ກັບ "clings" ຂອງ​ພວກ​ເຮົາ, ມີ​ຈໍາ​ນວນ​ມາດ​ຕະ​ຖານ​ທີ່​ພວກ​ເຮົາ​ຕ້ອງ​ການ​ທີ່​ຈະ​ຄຸ້ນ​ເຄີຍ​ກັບ (ຢ່າງ​ຫນ້ອຍ superficial). "cherry" ໃນ cake ແມ່ນການຂາດຂອງບົດເລື່ອງມາດຕະຖານໃນປະຈຸບັນຢູ່ໃນສາທາລະນະ - ພວກເຂົາເຈົ້າຕ້ອງໄດ້ຮັບການຊື້ຢູ່ໃນເວັບໄຊທ໌ຢ່າງເປັນທາງການ ISO.

ຄວາມເຂົ້າໃຈຜິດ #3.
ພວກເຮົາຫມັ້ນໃຈວ່າພວກເຮົາຈະຊອກຫາທຸກສິ່ງທຸກຢ່າງທີ່ພວກເຮົາຕ້ອງການເພື່ອກະກຽມສໍາລັບການຢັ້ງຢືນໃນແຫຼ່ງເປີດ. ແທ້ຈິງແລ້ວ, ມີອຸປະກອນການ ISO 27001 ຢູ່ໃນອິນເຕີເນັດຫຼາຍ, ແຕ່ພວກເຂົາຂາດສະເພາະ. ຕົວຈິງແລ້ວບໍ່ມີຄໍາແນະນໍາຂັ້ນຕອນທີ່ເຂົ້າໃຈງ່າຍສໍາລັບການກະກຽມສໍາລັບການຢັ້ງຢືນ, ເຊັ່ນດຽວກັນກັບກໍລະນີທີ່ແທ້ຈິງຂອງບໍລິສັດທີ່ໄດ້ປະຕິບັດມາດຕະຖານນີ້.

ຄວາມເຂົ້າໃຈຜິດ #4.
ພວກເຮົາຈະຂຽນນະໂຍບາຍ, ແຕ່ພວກມັນຈະບໍ່ເຮັດວຽກ! ດີ, ມັນເປັນຄວາມຈິງ, ບໍລິສັດຂອງພວກເຮົາມີກົດລະບຽບຫຼາຍເກີນໄປ, ບໍ່ມີໃຜຈະປະຕິບັດຕາມນະໂຍບາຍໃຫມ່ອີກ 3 ສະບັບ. ໃນຄວາມເປັນຈິງ, ໂຊກດີ, ພະນັກງານຂອງພວກເຮົາໄດ້ປະຕິບັດຫນ້າທີ່ເປັນແມ່ບົດກົດລະບຽບໃຫມ່ຢ່າງມີຄວາມຮັບຜິດຊອບແລະປະສົບຜົນສໍາເລັດໃນການທົດສອບຄວາມຮູ້ຂອງເອກະສານລະບົບການຄຸ້ມຄອງຄວາມປອດໄພຂອງຂໍ້ມູນ.

ຄວາມເຂົ້າໃຈຜິດ #5.
ໃນເວລານັ້ນ, ພວກເຮົາບໍ່ສາມາດປະເມີນຢ່າງຊັດເຈນວ່າພວກເຮົາຈະໄດ້ຮັບຜົນປະໂຫຍດຫຍັງຈາກຄວາມພະຍາຍາມຂອງພວກເຮົາ. ໃນເວລານັ້ນ, ຈໍານວນຄໍາຮ້ອງຂໍສໍາລັບໃບຢັ້ງຢືນນີ້ບໍ່ມີຂະຫນາດໃຫຍ່, ແລະພວກເຮົາມີລູກຄ້າທີ່ສໍາຄັນແລະຄວາມຕ້ອງການຫຼາຍທີ່ສຸດຂອງພວກເຮົາກ່ອນການຢັ້ງຢືນ. ປະສົບການສະແດງໃຫ້ເຫັນວ່າພວກເຮົາຈັດການໂດຍບໍ່ມີມາດຕະຖານ.

ໃນບາງຈຸດ, ພວກເຮົາຮັບຮູ້ວ່າພວກເຮົາປິດຊ່ອງຫວ່າງອັນໜຶ່ງອັນໜຶ່ງ ຫຼືອັນໜຶ່ງອັນໜຶ່ງຢ່າງວຸ້ນວາຍຍ້ອນຄວາມຕ້ອງການຂອງລູກຄ້າ. ແຕ່ລະຄັ້ງທີ່ພວກເຮົາໄດ້ມາກັບບາງນະໂຍບາຍຫຼືວິທີແກ້ໄຂໃຫມ່. ແລະໃນທີ່ສຸດພວກເຮົາໄດ້ເປັນເອກະລາດມາສະຫລຸບວ່າມັນຈະງ່າຍຂຶ້ນຫຼາຍໃນການຈັດລະບົບຂະບວນການ, ເຊິ່ງເຖິງແມ່ນວ່າຈະຊ່ວຍປະຢັດພວກເຮົາຫຼາຍຄ່າໃຊ້ຈ່າຍແຮງງານໃນອະນາຄົດ. ມາດຕະຖານມີຈຸດປະສົງເພື່ອເຮັດໃຫ້ວຽກງານນີ້ງ່າຍດາຍ.

ໃນປັດຈຸບັນ, ສອງປີຕໍ່ມາ, ພວກເຮົາເຫັນທ່າອ່ຽງເພີ່ມຂຶ້ນໃນຈໍານວນຄໍາຮ້ອງຂໍແລະຄວາມສົນໃຈໃນບັນຫານີ້ຈາກລູກຄ້າສາກົນທີ່ສໍາຄັນ.

ການຕັດສິນໃຈສຸດທ້າຍ.

ສະຫຼຸບແລ້ວ, ພວກເຮົາຢາກເວົ້າວ່າຜູ້ນໍາອຸດສາຫະກໍາຂອງພວກເຮົາໄດ້ຮັບການຢັ້ງຢືນ ISO / IEC 27001, ເຊິ່ງໄດ້ບັງຄັບໃຫ້ຜູ້ໃຫ້ບໍລິການທີ່ສໍາຄັນອື່ນໆທັງຫມົດ (ລວມທັງພວກເຮົາ) ຄິດກ່ຽວກັບບັນຫານີ້. ບໍ່ຕ້ອງສົງໃສ, ເສັ້ນທີ່ສວຍງາມໃນອຸປະກອນການຕະຫຼາດຂອງບໍລິສັດ - ຢູ່ໃນເວັບໄຊທ໌, ໃນເຄືອຂ່າຍສັງຄົມ, ໃນແຜ່ນພັບໂຄສະນາ, ແລະອື່ນໆ. – ສາ​ມາດ​ໄດ້​ຮັບ​ການ​ພິ​ຈາ​ລະ​ນາ​ເປັນ​ເງິນ​ທີ່​ເປັນ​ສຸກ​, ແຕ່​ວ່າ​ມັນ​ເປັນ​ມູນ​ຄ່າ​ການ​ໃຊ້​ຈ່າຍ​ຊັບ​ພະ​ຍາ​ກອນ​ຈໍາ​ນວນ​ຫຼາຍ​ເພື່ອ​? ພວກເຮົາໄດ້ຕັດສິນໃຈດ້ວຍຕົນເອງວ່າສໍາລັບພວກເຮົານີ້ແມ່ນຫຼາຍກ່ວາພຽງແຕ່ເສັ້ນທີ່ສວຍງາມ, ແລະພວກເຮົາໄດ້ມີສ່ວນຮ່ວມໃນໂຄງການນີ້.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com