ISO/IEC 5 സർട്ടിഫിക്കേഷന്റെ അനിവാര്യതയുടെ 27001 ഘട്ടങ്ങൾ. നിഷേധം

കമ്പനിക്ക് വേണ്ടി തന്ത്രപരമായി പ്രധാനപ്പെട്ട എന്തെങ്കിലും തീരുമാനമെടുക്കുമ്പോൾ, ജീവനക്കാർ അടിസ്ഥാന പ്രതിരോധ സംവിധാനത്തിലൂടെ കടന്നുപോകുന്നു, മാറ്റത്തോട് പ്രതികരിക്കുന്നതിന്റെ 5 ഘട്ടങ്ങൾ (ഇ. കോബ്ലർ-റോസ് എഴുതിയത്). ഒരു പ്രമുഖ മനഃശാസ്ത്രജ്ഞൻ ഒരിക്കൽ വൈകാരിക പ്രതികരണങ്ങൾ വിവരിച്ചു, വൈകാരിക പ്രതികരണത്തിന്റെ 5 പ്രധാന ഘട്ടങ്ങൾ എടുത്തുകാണിച്ചു: നിരസിക്കൽ, കോപം, വിലപേശൽ, വിഷാദം അവസാനം ദത്തെടുക്കൽ. ISO 27001 സർട്ടിഫിക്കേഷനായി സമർപ്പിച്ചിരിക്കുന്ന ലേഖനങ്ങളുടെ ഒരു പരമ്പര ഞങ്ങൾ തയ്യാറാക്കിയിട്ടുണ്ട്, അവിടെ ഞങ്ങൾ ഓരോ ഘട്ടങ്ങളും നോക്കും. ഇന്ന് നമ്മൾ അവരിൽ ആദ്യത്തേതിനെക്കുറിച്ച് സംസാരിക്കും - നിഷേധം.

"പ്രദർശനത്തിനായി" ഒരു ISO 27001 സർട്ടിഫിക്കറ്റ് നേടുന്നത് വളരെ സംശയാസ്പദമായ സന്തോഷമാണ്, കാരണം ഇതിന് ദീർഘവും ചെലവേറിയതുമായ തയ്യാറെടുപ്പ് ആവശ്യമാണ്. മാത്രമല്ല, അത് കാണിക്കുന്നതുപോലെ സ്ഥിതിവിവരക്കണക്കുകൾ, ഈ മാനദണ്ഡം റഷ്യൻ ഫെഡറേഷനിൽ അങ്ങേയറ്റം ജനപ്രീതിയില്ലാത്തതാണ്: ഇന്നുവരെ, 70 കമ്പനികൾ മാത്രമേ പാലിക്കുന്നതിന് സാക്ഷ്യപ്പെടുത്തിയിട്ടുള്ളൂ. അതേസമയം, വിവര സുരക്ഷാ മേഖലയിലെ ബിസിനസ്സിന്റെ വർദ്ധിച്ചുവരുന്ന ആവശ്യങ്ങൾ നിറവേറ്റുന്ന വിദേശത്തെ ഏറ്റവും ജനപ്രിയമായ മാനദണ്ഡങ്ങളിലൊന്നാണിത്.

അക്കൗണ്ടിംഗ് ഫംഗ്‌ഷനുകൾക്കായി ഞങ്ങളുടെ കമ്പനി ഔട്ട്‌സോഴ്‌സിംഗ് സേവനങ്ങളുടെ മുഴുവൻ ശ്രേണിയും നൽകുന്നു: അക്കൗണ്ടിംഗ്, ടാക്സ് അക്കൗണ്ടിംഗ്, പേറോൾ, പേഴ്‌സണൽ അഡ്മിനിസ്ട്രേഷൻ. റഷ്യയിൽ ശാഖകളുള്ള വിദേശ കമ്പനികൾ അവരുടെ രഹസ്യാത്മക വിവരങ്ങളിൽ ഞങ്ങളെ വിശ്വസിക്കുന്നു എന്ന വസ്തുത കാരണം ഞങ്ങൾ മുൻനിര വിപണി സ്ഥാനങ്ങളിലൊന്നാണ്. ഇത് ഞങ്ങളുടെ ക്ലയന്റുകളുടെ സാമ്പത്തിക പ്രക്രിയകൾക്ക് മാത്രമല്ല, ഞങ്ങൾ ദൈനംദിന അടിസ്ഥാനത്തിൽ പ്രവർത്തിക്കുന്ന വ്യക്തിഗത ഡാറ്റയ്ക്കും ബാധകമാണ്. ഇക്കാര്യത്തിൽ, വിവര സുരക്ഷയുടെ പ്രശ്നം ഞങ്ങളുടെ മുൻഗണനകളിലൊന്നാണ്.

മിക്കപ്പോഴും, റഷ്യൻ ഡിവിഷനുകളുടെ എല്ലാ ബിസിനസ്സ് പ്രക്രിയകളും വിദേശ കമ്പനികളുടെ ഹെഡ് ഓഫീസുകൾ നിയന്ത്രിക്കുകയും പ്രഖ്യാപിക്കുകയും ചെയ്യുന്നു, അതിനാൽ അവർ ആന്തരിക ഗ്രൂപ്പ്-വൈഡ് മാനദണ്ഡങ്ങൾ പാലിക്കണം. അടുത്തിടെ, ഞങ്ങളുടെ ചില പ്രധാന ക്ലയന്റുകൾ അവരുടെ സുരക്ഷാ നയങ്ങൾ കർശനമാക്കുന്ന ദിശയിൽ പരിഷ്കരിക്കാൻ തുടങ്ങി. തീർച്ചയായും, വർദ്ധിച്ചുവരുന്ന സൈബർ ആക്രമണങ്ങളുടെയും വിവര സുരക്ഷാ ലംഘന സംഭവങ്ങളുമായി ബന്ധപ്പെട്ട നഷ്‌ടങ്ങളുടെയും ആഗോള പ്രവണതകളാണ് ഇതിന് കാരണം. കമ്പനിയുടെ വിവര സുരക്ഷ വർദ്ധിപ്പിക്കുന്നതിന് ലക്ഷ്യമിട്ടുള്ള സംരക്ഷണ നടപടികളും നയങ്ങളും നടപടിക്രമങ്ങളും നടപ്പിലാക്കേണ്ടത് ആവശ്യമാണെങ്കിൽ, നിങ്ങൾക്ക് ഐഎസ്ഒ ഇല്ലാതെ ചെയ്യാൻ കഴിയും. /IEC 27001 സർട്ടിഫിക്കേഷൻ, അതുവഴി ധാരാളം പണവും സമയവും ഞരമ്പുകളും ലാഭിക്കുന്നു.

ഇന്ന്, കമ്പനിയിൽ നിലവിലുള്ള വിവര സുരക്ഷയുടെ ആവശ്യകതകൾ വിദേശ ഉപഭോക്താക്കളിൽ നിന്നുള്ള ടെൻഡറുകളിൽ പ്രത്യക്ഷപ്പെടാൻ തുടങ്ങി. ചിലർ, അവരുടെ പരിശോധന ലളിതമാക്കുന്നതിനും സമീപനം ഏകീകരിക്കുന്നതിനും, നിർബന്ധിത മൂല്യനിർണ്ണയ മാനദണ്ഡം - ISO/IEC 27001 സർട്ടിഫിക്കേഷന്റെ സാന്നിധ്യം.

ഞങ്ങൾ കണ്ടത് ഇതാണ്: ഈ മാനദണ്ഡത്തിന് സാക്ഷ്യപ്പെടുത്തിയ ഞങ്ങളുടെ പ്രധാന അന്തർദ്ദേശീയ ക്ലയന്റുകളിൽ ഒരാൾ അതിന്റെ ആഗോള വിവര സുരക്ഷാ ടീമിനെ ഗണ്യമായി ശക്തിപ്പെടുത്തിയതായി തോന്നുന്നു. ഇതിനെക്കുറിച്ച് ഞങ്ങൾ എങ്ങനെ അറിഞ്ഞു? ഞങ്ങളുടെ വിവര സുരക്ഷാ മാനേജുമെന്റ് സിസ്റ്റം ഓഡിറ്റ് ചെയ്യാൻ അവർ തീരുമാനിച്ചു, കാരണം ഞങ്ങൾ അവർക്ക് അക്കൗണ്ടിംഗ് സേവനങ്ങളും പേഴ്സണൽ അഡ്മിനിസ്ട്രേഷനും നൽകുന്നു - അതനുസരിച്ച്, ഞങ്ങളുടെ വിവര സംവിധാനങ്ങളുടെ സുരക്ഷ അവർക്ക് നിർണായകമാണ്. മുമ്പത്തെ ഓഡിറ്റ് 3 വർഷം മുമ്പ് നടന്നു - ആ സമയം എല്ലാം തികച്ചും വേദനയില്ലാതെ പോയി.

ഇത്തവണ, ഇന്ത്യക്കാരുടെ ഒരു സൗഹൃദ സംഘം ഞങ്ങളെ ആക്രമിച്ചു, ഞങ്ങളുടെ സുരക്ഷാ മാനേജ്‌മെന്റ് സിസ്റ്റത്തിലെ നിരവധി ഡസൻ പോരായ്മകൾ സമർത്ഥമായി കണ്ടെത്തി. ഓഡിറ്റ് പ്രക്രിയ സംസാര ചക്രത്തോട് സാമ്യമുള്ളതാണ് - തത്ത്വത്തിൽ അവർക്ക് ഓഡിറ്റിന്റെ ഭാഗമായി അന്തിമ ഘട്ടത്തിൽ എത്താൻ ലക്ഷ്യമില്ലെന്ന് തോന്നുന്നു. ക്ലയന്റിന്റെ ഐടി സെക്യൂരിറ്റി ടീമിന്റെ ഉച്ചാരണം തിരിച്ചറിയാനുള്ള ശ്രമങ്ങളിലെ ചോദ്യങ്ങൾ, അഭിപ്രായങ്ങൾ, ഞങ്ങളുടെ അഭിപ്രായങ്ങൾ, അവയുടെ യാഥാർത്ഥ്യത്തിന്റെ തെളിവുകൾ, കോൺഫറൻസ് കോളുകൾ, നീണ്ട ദാർശനിക സംഭാഷണങ്ങൾ എന്നിവയുടെ അനന്തമായ ഒരു നിരയായിരുന്നു അത്. വഴിയിൽ, ഓഡിറ്റ് ഇന്നുവരെ വ്യത്യസ്ത അളവിലുള്ള തീവ്രതയോടെ തുടരുന്നു - കാലക്രമേണ, ഞങ്ങൾ ഇതുമായി പൊരുത്തപ്പെട്ടു. അതിനാൽ, സർട്ടിഫിക്കേഷന്റെ ആവശ്യകത സ്വന്തമായി ഉയർന്നു.

ഒരുപക്ഷേ നമുക്ക് ISO 9001 ഉപയോഗിച്ച് ചെയ്യാൻ കഴിയുമോ?

ഏതെങ്കിലും ഐ‌എസ്‌ഒ മാനദണ്ഡങ്ങൾക്കനുസൃതമായി സർട്ടിഫിക്കേഷന്റെ വിഷയത്തിൽ കൂടുതലോ കുറവോ പ്രാവീണ്യമുള്ള എല്ലാവരും അവയിൽ ഓരോന്നിന്റെയും അടിസ്ഥാനം ISO 9001 “ക്വാളിറ്റി മാനേജ്‌മെന്റ് സിസ്റ്റം” സർട്ടിഫിക്കറ്റാണെന്ന് മനസ്സിലാക്കുന്നു. ISO സ്റ്റാൻഡേർഡുകളുടെ മുഴുവൻ നിരയിലും നിലവിൽ ഏറ്റവും പ്രചാരമുള്ള സർട്ടിഫിക്കറ്റാണിത്. ഞങ്ങൾക്ക് അത് ഇല്ലായിരുന്നു - അത് ലഭിക്കേണ്ടെന്ന് ഞങ്ങൾ തീരുമാനിച്ചു. ഇതിന് നിരവധി കാരണങ്ങളുണ്ടായിരുന്നു:

• ഈ സർട്ടിഫിക്കറ്റ് ഉള്ള കമ്പനിയുടെ സംശയാസ്പദമായ സാമ്പത്തിക കാര്യക്ഷമത;
• ഞങ്ങളുടെ ആന്തരിക പ്രക്രിയകൾ, മിക്കവാറും, ഇതിനകം തന്നെ ഈ നിലവാരത്തോട് അടുത്തിരുന്നു;
• ഈ സർട്ടിഫിക്കറ്റ് ലഭിക്കുന്നതിന് അധിക സമയവും പണവും ആവശ്യമായി വരും.

അതനുസരിച്ച്, "ലൈറ്റർ" 27001-ൽ ആരംഭിക്കാതെ ISO 9001 ഉടനടി നടപ്പിലാക്കാൻ ഞങ്ങൾ തീരുമാനിച്ചു.

അല്ലെങ്കിൽ ഒരുപക്ഷേ അത് ഇപ്പോഴും ആവശ്യമില്ലേ?

മുന്നോട്ട് നോക്കുമ്പോൾ, അത് ലഭിക്കുന്നത് ഉചിതമാണോ എന്ന ചോദ്യത്തിലേക്ക് ഞങ്ങൾ പലതവണ മടങ്ങി. ഞങ്ങൾ എല്ലാ വശങ്ങളിൽ നിന്നും പ്രശ്നം പഠിക്കാൻ തുടങ്ങി, കാരണം ഞങ്ങൾക്ക് യാതൊരു വൈദഗ്ധ്യവും ഇല്ലായിരുന്നു. ഈ വിഷയത്തെക്കുറിച്ച് ഒരിക്കൽ കൂടി ചിന്തിക്കാൻ നമ്മെ പ്രേരിപ്പിച്ച തെറ്റിദ്ധാരണകൾ ഇതാ.

തെറ്റിദ്ധാരണ #1.
സ്റ്റാൻഡേർഡ് ഞങ്ങൾക്ക് വിശദമായ ചെക്ക്‌ലിസ്റ്റും നയങ്ങളുടെ പട്ടികയും മറ്റ് നിയമപരമായ രേഖകളും നൽകുമെന്ന് ഞങ്ങൾ പ്രതീക്ഷിക്കുന്നു. വാസ്തവത്തിൽ, ISO/IEC 27001 എന്നത് ഇൻഫർമേഷൻ സെക്യൂരിറ്റി മാനേജ്‌മെന്റ് സിസ്റ്റത്തിന്റെയും നിർമ്മാണ പ്രക്രിയയുടെയും ആവശ്യകതകളുടെ ഒരു കൂട്ടമാണ്. അവയുടെ അടിസ്ഥാനത്തിൽ, സ്റ്റാൻഡേർഡിന്റെ ആവശ്യകതകൾക്ക് അനുസൃതമായി ഞങ്ങളുടെ കമ്പനിയിൽ എന്ത് എഴുതണം / നടപ്പിലാക്കണം എന്ന് സ്വതന്ത്രമായി തീരുമാനിക്കേണ്ടത് ആവശ്യമാണ്.

തെറ്റിദ്ധാരണ #2.
ഒരു പ്രമാണം പഠിച്ച് താരതമ്യേന കുറഞ്ഞ സമയത്തിനുള്ളിൽ സ്വന്തമായി നടപ്പിലാക്കിയാൽ മതിയെന്ന് ഞങ്ങൾ ആത്മാർത്ഥമായി വിശ്വസിച്ചു. വാസ്തവത്തിൽ, ഡോക്യുമെന്റ് വായിക്കുമ്പോൾ, ഞങ്ങളുടെ സ്റ്റാൻഡേർഡ് എത്ര അനുബന്ധ മാനദണ്ഡങ്ങളുമായി “പറ്റിനിൽക്കുന്നു”, എത്ര മാനദണ്ഡങ്ങൾ നമുക്ക് പരിചിതമാകണമെന്ന് (കുറഞ്ഞത് ഉപരിപ്ലവമായെങ്കിലും) ഞങ്ങൾ മനസ്സിലാക്കി. കേക്കിലെ "ചെറി" എന്നത് പബ്ലിക് ഡൊമെയ്‌നിലെ നിലവിലെ സ്റ്റാൻഡേർഡ് ടെക്‌സ്‌റ്റുകളുടെ അഭാവമാണ് - അവ ഔദ്യോഗിക ഐഎസ്ഒ വെബ്‌സൈറ്റിൽ നിന്ന് വാങ്ങേണ്ടതുണ്ട്.

തെറ്റിദ്ധാരണ #3.
സർട്ടിഫിക്കേഷനായി തയ്യാറെടുക്കാൻ ആവശ്യമായതെല്ലാം ഓപ്പൺ സോഴ്‌സുകളിൽ കണ്ടെത്തുമെന്ന് ഞങ്ങൾക്ക് ഉറപ്പുണ്ടായിരുന്നു. ഇൻറർനെറ്റിൽ ISO 27001-ൽ ധാരാളം മെറ്റീരിയലുകൾ ഉണ്ടായിരുന്നു, പക്ഷേ അവയ്ക്ക് പ്രത്യേകതകൾ കുറവായിരുന്നു. സർട്ടിഫിക്കേഷനായി തയ്യാറെടുക്കുന്നതിനുള്ള ഘട്ടം ഘട്ടമായുള്ള നിർദ്ദേശങ്ങളും ഈ സ്റ്റാൻഡേർഡ് നടപ്പിലാക്കിയ കമ്പനികളുടെ യഥാർത്ഥ കേസുകളും പ്രായോഗികമായി മനസ്സിലാക്കാൻ എളുപ്പമായിരുന്നില്ല.

തെറ്റിദ്ധാരണ #4.
ഞങ്ങൾ നയങ്ങൾ എഴുതും, പക്ഷേ അവ പ്രവർത്തിക്കില്ല! ശരി, ഇത് ശരിയാണ്, ഞങ്ങളുടെ കമ്പനിക്ക് ഇതിനകം നിരവധി നിയമങ്ങളുണ്ട്, ആരും മറ്റൊരു 3 ഡസൻ പുതിയ നയങ്ങൾ പാലിക്കില്ല. വാസ്തവത്തിൽ, ഭാഗ്യവശാൽ, ഞങ്ങളുടെ ജീവനക്കാർ ഉത്തരവാദിത്തത്തോടെ പുതിയ നിയമങ്ങൾ മാസ്റ്റേഴ്സ് ചെയ്യാനുള്ള ചുമതല ഏറ്റെടുത്തു, കൂടാതെ വിവര സുരക്ഷാ മാനേജ്മെന്റ് സിസ്റ്റം ഡോക്യുമെന്റുകളെക്കുറിച്ചുള്ള അറിവിനായുള്ള പരിശോധന വിജയകരമായി വിജയിച്ചു.

തെറ്റിദ്ധാരണ #5.
ഞങ്ങളുടെ പ്രയത്നത്തിൽ നിന്ന് നമുക്ക് എന്ത് നേട്ടങ്ങൾ ലഭിക്കുമെന്ന് അക്കാലത്ത് ഞങ്ങൾക്ക് വ്യക്തമായി വിലയിരുത്താൻ കഴിഞ്ഞില്ല. അക്കാലത്ത്, ഈ സർട്ടിഫിക്കറ്റിനായുള്ള അഭ്യർത്ഥനകളുടെ എണ്ണം അത്ര വലുതായിരുന്നില്ല, സർട്ടിഫിക്കേഷന് വളരെ മുമ്പുതന്നെ ഞങ്ങളുടെ പ്രധാനവും ഏറ്റവും ആവശ്യപ്പെടുന്നതുമായ ക്ലയന്റ് ഞങ്ങൾക്ക് ഉണ്ടായിരുന്നു. ഒരു നിലവാരവുമില്ലാതെയാണ് ഞങ്ങൾ കൈകാര്യം ചെയ്തതെന്ന് അനുഭവം തെളിയിച്ചു.

ചില ഘട്ടങ്ങളിൽ, ക്ലയന്റിന്റെ ആവശ്യകതകൾ കാരണം ഞങ്ങൾ ഒന്നോ അല്ലെങ്കിൽ മറ്റൊരു ഉയർന്ന വിടവ് അരാജകമായി അടയ്ക്കുകയാണെന്ന് ഞങ്ങൾ മനസ്സിലാക്കി. ഓരോ തവണയും ഞങ്ങൾ ചില പുതിയ നയങ്ങളോ പരിഹാരങ്ങളോ കൊണ്ടുവന്നു. പ്രക്രിയ ചിട്ടപ്പെടുത്തുന്നത് വളരെ എളുപ്പമാണെന്ന് ഞങ്ങൾ ഒടുവിൽ സ്വതന്ത്രമായി നിഗമനത്തിലെത്തി, ഇത് ഭാവിയിൽ ധാരാളം തൊഴിൽ ചെലവുകൾ പോലും ലാഭിക്കും. സ്റ്റാൻഡേർഡ് ഈ ടാസ്ക് ലളിതമാക്കാൻ ഉദ്ദേശിച്ചുള്ളതാണ്.

ഇപ്പോൾ, രണ്ട് വർഷത്തിന് ശേഷം, പ്രധാന അന്തർദ്ദേശീയ ക്ലയന്റുകളിൽ നിന്നുള്ള അഭ്യർത്ഥനകളുടെ എണ്ണത്തിലും ഈ വിഷയത്തിലുള്ള താൽപ്പര്യത്തിലും വർദ്ധിച്ചുവരുന്ന പ്രവണത ഞങ്ങൾ കാണുന്നു.

അവസാന തീരുമാനം.

ഉപസംഹാരമായി, ഞങ്ങളുടെ വ്യവസായ പ്രമുഖർക്ക് ISO/IEC 27001 സർട്ടിഫിക്കേഷൻ ലഭിച്ചുവെന്ന് പറയാൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നു, ഇത് മറ്റെല്ലാ പ്രമുഖ ദാതാക്കളെയും (ഞങ്ങൾ ഉൾപ്പെടെ) ഈ പ്രശ്നത്തെക്കുറിച്ച് ചിന്തിക്കാൻ നിർബന്ധിതരാക്കി. നിസ്സംശയമായും, കമ്പനിയുടെ മാർക്കറ്റിംഗ് മെറ്റീരിയലുകളിൽ മനോഹരമായ ഒരു വരി - വെബ്സൈറ്റിൽ, സോഷ്യൽ നെറ്റ്വർക്കുകളിൽ, പരസ്യ ബ്രോഷറുകളിൽ മുതലായവ. - ഒരു മനോഹരമായ ബോണസ് ആയി കണക്കാക്കാം, പക്ഷേ അതിനായി വളരെയധികം വിഭവങ്ങൾ ചെലവഴിക്കുന്നത് മൂല്യവത്താണോ? ഞങ്ങളെ സംബന്ധിച്ചിടത്തോളം ഇത് മനോഹരമായ ഒരു ലൈനേക്കാൾ കൂടുതലാണെന്ന് ഞങ്ങൾ സ്വയം തീരുമാനിച്ചു, ഞങ്ങൾ ഈ പ്രോജക്റ്റിൽ ഏർപ്പെട്ടു.

അവലംബം: www.habr.com