ISO/IEC 5 प्रमाणपत्राच्या अपरिहार्यतेचे 27001 टप्पे. नैराश्य

बदलाला भावनिक प्रतिसादाचा चौथा टप्पा म्हणजे नैराश्य. या लेखात आम्ही तुम्हाला सर्वात प्रदीर्घ आणि अप्रिय टप्प्यातून जाण्याच्या आमच्या अनुभवाबद्दल सांगू - ISO 27001 मानकांचे पालन करण्यासाठी कंपनीच्या व्यवसाय प्रक्रियेतील बदलांबद्दल.

वाट पहात आहे

प्रमाणित संस्था आणि सल्लागार निवडल्यानंतर आम्ही स्वतःला पहिला प्रश्न विचारला होता की सर्व आवश्यक बदल करण्यासाठी आम्हाला खरोखर किती वेळ लागेल?

सुरुवातीच्या कामाचा आराखडा अशा प्रकारे नियोजित करण्यात आला होता की आम्हाला ते 3 महिन्यांत पूर्ण करायचे होते.

सर्व काही सोपे दिसत होते: दोन डझन धोरणे लिहिणे आणि आमच्या अंतर्गत प्रक्रियांमध्ये किंचित बदल करणे आवश्यक होते; नंतर सहकाऱ्यांना बदलांबद्दल प्रशिक्षण द्या आणि आणखी 3 महिने प्रतीक्षा करा (जेणेकरुन "रेकॉर्ड्स" दिसून येतील, म्हणजेच धोरणांच्या कार्याचा पुरावा). असे वाटले की ते सर्व आहे - आणि प्रमाणपत्र आमच्या खिशात आहे.

याव्यतिरिक्त, आम्ही सुरवातीपासून धोरणे लिहिणार नव्हतो - शेवटी, आमच्याकडे एक सल्लागार होता, ज्याने आम्हाला वाटले की, आम्हाला सर्व "योग्य" टेम्पलेट्स द्यायचे होते.

या निष्कर्षांचा परिणाम म्हणून, आम्ही प्रत्येक पॉलिसी तयार करण्यासाठी 3 दिवस दिले आहेत.

तांत्रिक बदल देखील त्रासदायक वाटले नाहीत: कार्यक्रमांचे संकलन आणि स्टोरेज सेट करणे, बॅकअप आम्ही लिहिलेल्या धोरणाचे पालन करतात की नाही हे तपासणे, आवश्यक तेथे प्रवेश नियंत्रण प्रणालीसह कार्यालये पुन्हा तयार करणे आणि इतर काही लहान गोष्टी करणे आवश्यक होते. .
प्रमाणपत्रासाठी आवश्यक असलेली प्रत्येक गोष्ट तयार करणाऱ्या टीममध्ये दोन लोकांचा समावेश होता. आम्ही नियोजित केले की ते त्यांच्या मुख्य जबाबदाऱ्यांच्या समांतर अंमलबजावणीमध्ये गुंतले जातील आणि यासाठी त्यांना प्रत्येक दिवसात जास्तीत जास्त 1,5-2 तास लागतील.
थोडक्यात, आम्ही असे म्हणू शकतो की कामाच्या आगामी व्याप्तीबद्दल आमचा दृष्टिकोन खूप आशावादी होता.

वास्तव

प्रत्यक्षात, सर्व काही नैसर्गिकरित्या भिन्न होते: सल्लागाराने प्रदान केलेले धोरण टेम्पलेट आमच्या कंपनीसाठी बहुतेक अयोग्य असल्याचे दिसून आले; काय आणि कसे करावे याबद्दल इंटरनेटवर जवळजवळ कोणतीही स्पष्ट माहिती नव्हती. तुम्ही कल्पना करू शकता की, "3 दिवसात एक पॉलिसी लिहिण्याची" योजना अत्यंत अयशस्वी झाली. त्यामुळे प्रकल्पाच्या अगदी सुरुवातीपासूनच आम्ही डेडलाइन पूर्ण करणे बंद केले आणि आमचा मूड हळूहळू घसरायला लागला.

संघाचे कौशल्य आपत्तीजनकरित्या लहान होते - इतके की सल्लागाराला योग्य प्रश्न विचारणे पुरेसे नव्हते (ज्याने, तसे, जास्त पुढाकार दर्शविला नाही). अंमलबजावणी सुरू झाल्यानंतर 3 महिन्यांनंतर (म्हणजेच सर्व काही तयार असायला हवे होते तेव्हा) गोष्टी आणखी हळू होऊ लागल्या, दोन प्रमुख सहभागींपैकी एकाने संघ सोडला. त्याच्या जागी आयटी सेवेच्या नवीन प्रमुखाची नियुक्ती करण्यात आली, ज्यांना अंमलबजावणीची प्रक्रिया त्वरीत पूर्ण करायची होती आणि तांत्रिक दृष्टिकोनातून आवश्यक असलेल्या सर्व गोष्टींसह माहिती सुरक्षा व्यवस्थापन प्रणाली प्रदान करायची होती. काम अवघड वाटू लागले... प्रभारी लोक उदास होऊ लागले.

याव्यतिरिक्त, समस्येची तांत्रिक बाजू देखील "बारकावे" असल्याचे दिसून आले. आमच्याकडे वर्कस्टेशन्स आणि सर्व्हर उपकरणांवर जागतिक सॉफ्टवेअर आधुनिकीकरणाचे कार्य आहे. इव्हेंट (लॉग) संकलित करण्यासाठी सिस्टम सेट करताना, असे दिसून आले की आमच्याकडे सिस्टमच्या सामान्य कार्यासाठी पुरेसे हार्डवेअर संसाधने नाहीत. आणि बॅकअप सॉफ्टवेअरलाही आधुनिकीकरणाची गरज होती.

स्पॉयलर: परिणामी, ISMS वीरपणे 6 महिन्यांत लागू करण्यात आला. आणि कोणीही मेले नाही!

सर्वात जास्त काय बदलले आहे?

अर्थात, मानकांच्या अंमलबजावणीदरम्यान, कंपनीच्या प्रक्रियेत मोठ्या प्रमाणात लहान बदल झाले. आम्ही तुमच्यासाठी सर्वात महत्त्वाचे बदल हायलाइट केले आहेत:

• जोखीम मूल्यांकन प्रक्रियेचे औपचारिकीकरण

पूर्वी, कंपनीकडे कोणतीही औपचारिक जोखीम मूल्यांकन प्रक्रिया नव्हती - ती केवळ एकंदर धोरणात्मक नियोजनाचा भाग म्हणून पासिंगमध्ये केली गेली होती. प्रमाणपत्राचा भाग म्हणून सोडवलेले सर्वात महत्त्वाचे कार्य म्हणजे कंपनीच्या जोखीम मूल्यांकन धोरणाची अंमलबजावणी करणे, जे या प्रक्रियेच्या सर्व टप्प्यांचे आणि प्रत्येक टप्प्यासाठी जबाबदार व्यक्तींचे वर्णन करते.

• काढता येण्याजोग्या स्टोरेज मीडियावर नियंत्रण

व्यवसायासाठी महत्त्वपूर्ण जोखमींपैकी एक म्हणजे एनक्रिप्टेड यूएसबी फ्लॅश ड्राइव्हचा वापर: खरं तर, कोणताही कर्मचारी फ्लॅश ड्राइव्हवर त्याच्यासाठी उपलब्ध असलेली कोणतीही माहिती लिहू शकतो आणि सर्वोत्तम म्हणजे ती गमावू शकतो. प्रमाणपत्राचा एक भाग म्हणून, फ्लॅश ड्राइव्हवर कोणतीही माहिती डाउनलोड करण्याची क्षमता सर्व कर्मचारी वर्कस्टेशन्सवर अक्षम केली गेली होती - माहिती रेकॉर्ड करणे केवळ आयटी विभागाकडे अर्जाद्वारे शक्य झाले.

• सुपर वापरकर्ता नियंत्रण

मुख्य समस्यांपैकी एक ही वस्तुस्थिती होती की सर्व आयटी विभाग कर्मचार्‍यांना कंपनीच्या सर्व प्रणालींमध्ये पूर्ण अधिकार होते - त्यांना सर्व माहितीवर प्रवेश होता. त्याच वेळी, कोणीही त्यांना खरोखर नियंत्रित केले नाही.

आम्ही डेटा लॉस प्रिव्हेन्शन (DLP) प्रणाली लागू केली आहे - कर्मचार्‍यांच्या क्रियांवर लक्ष ठेवण्यासाठी एक कार्यक्रम जो धोकादायक आणि अनुत्पादक क्रियाकलापांचे विश्लेषण, अवरोधित आणि सूचना देतो. आता आयटी विभागाच्या कर्मचार्‍यांच्या कृतींबद्दल अलर्ट कंपनीच्या ऑपरेशन डायरेक्टरच्या ईमेल पत्त्यावर पाठवले जातात.

• माहितीच्या पायाभूत सुविधांचे आयोजन करण्याचा दृष्टीकोन

प्रमाणन आवश्यक आहे जागतिक बदल आणि दृष्टिकोन. होय, वाढलेल्या लोडमुळे आम्हाला अनेक सर्व्हर उपकरणे अपग्रेड करावी लागली. विशेषतः, आम्ही इव्हेंट कलेक्शन सिस्टमसाठी स्वतंत्र सर्व्हर समर्पित केला आहे. सर्व्हर मोठ्या आणि वेगवान SSD ड्राइव्हसह सुसज्ज होता. आम्ही बॅकअप सॉफ्टवेअर सोडले आणि बॉक्सच्या बाहेर सर्व आवश्यक कार्यक्षमता असलेल्या स्टोरेज सिस्टमची निवड केली. आम्ही “कोड म्हणून पायाभूत सुविधा” या संकल्पनेकडे अनेक मोठे पाऊल टाकले, ज्यामुळे आम्हाला अनेक सर्व्हरचा बॅकअप घेण्याची गरज दूर करून डिस्क स्पेस वाचवता आली. कमीत कमी वेळेत (1 आठवडा), वर्कस्टेशन्सवरील सर्व सॉफ्टवेअर Win10 वर अपग्रेड केले गेले. आधुनिकीकरणाद्वारे सोडवलेल्या समस्यांपैकी एक म्हणजे एनक्रिप्शन सक्षम करण्याची क्षमता (प्रो आवृत्तीमध्ये).

• कागदी कागदपत्रांवर नियंत्रण

कागदी कागदपत्रांच्या वापराशी संबंधित कंपनीला महत्त्वपूर्ण जोखीम होती: ते हरवले जाऊ शकतात, चुकीच्या ठिकाणी सोडले जाऊ शकतात किंवा अयोग्यरित्या नष्ट केले जाऊ शकतात. हा धोका कमी करण्यासाठी, आम्ही सर्व कागदी कागदपत्रे गोपनीयतेच्या पातळीनुसार चिन्हांकित केली आहेत आणि विविध प्रकारचे दस्तऐवज नष्ट करण्यासाठी एक प्रक्रिया विकसित केली आहे. आता, जेव्हा एखादा कर्मचारी फोल्डर उघडतो किंवा दस्तऐवज घेतो तेव्हा ही माहिती कोणत्या श्रेणीत येते आणि ती कशी हाताळायची हे त्याला माहीत असते.

• बॅकअप डेटा सेंटर भाड्याने देणे

पूर्वी, कंपनीची सर्व माहिती तृतीय-पक्ष सुरक्षित डेटा सेंटरमध्ये असलेल्या सर्व्हरवर संग्रहित केली जात असे. तथापि, या डेटा सेंटरमध्ये कोणतीही आपत्कालीन प्रक्रिया नव्हती. एक बॅकअप क्लाउड डेटा सेंटर भाड्याने घेणे आणि तेथे सर्वात महत्वाच्या माहितीचा बॅकअप घेणे हा उपाय होता. सध्या, कंपनीची माहिती दोन भौगोलिकदृष्ट्या रिमोट डेटा सेंटरमध्ये संग्रहित केली जाते, ज्यामुळे तिचे नुकसान होण्याचा धोका कमी होतो.

• व्यवसाय सातत्य चाचणी

आमच्या कंपनीचे अनेक वर्षांपासून व्यवसाय सातत्य धोरण (BCP) आहे, जे विविध नकारात्मक परिस्थितींमध्ये (कार्यालयात प्रवेश गमावणे, महामारी, वीज आउटेज इ.) मध्ये कर्मचार्‍यांनी काय करावे याचे वर्णन करते. तथापि, आम्ही कधीही सातत्य चाचणी केली नाही - म्हणजेच, या प्रत्येक परिस्थितीत व्यवसाय पुनर्संचयित करण्यासाठी किती वेळ लागेल हे आम्ही कधीही मोजले नाही. प्रमाणन ऑडिटच्या तयारीसाठी, आम्ही केवळ हेच केले नाही तर येत्या वर्षासाठी व्यवसाय सातत्य चाचणी योजना देखील विकसित केली आहे. हे लक्षात घेण्यासारखे आहे की एक वर्षानंतर, जेव्हा आम्हाला दूरस्थ कामावर पूर्णपणे स्विच करण्याची आवश्यकता होती तेव्हा आम्ही हे कार्य तीन दिवसात पूर्ण केले.

हे लक्षात घेणे महत्वाचे आहे, की प्रमाणीकरणाची तयारी करणाऱ्या सर्व कंपन्यांच्या सुरुवातीच्या अटी भिन्न आहेत - म्हणून, तुमच्या बाबतीत, पूर्णपणे भिन्न बदल आवश्यक असू शकतात.

बदलांवर कर्मचारी प्रतिक्रिया

विचित्रपणे पुरेसे - येथे आम्हाला सर्वात वाईट अपेक्षित आहे - ते इतके वाईट नव्हते. असे म्हणता येणार नाही की सहकाऱ्यांना मोठ्या उत्साहाने प्रमाणपत्राची बातमी मिळाली, परंतु खालील गोष्टी स्पष्ट होत्या:

• सर्व प्रमुख कर्मचाऱ्यांना या कार्यक्रमाचे महत्त्व आणि अपरिहार्यता समजली;
• इतर सर्व कर्मचाऱ्यांनी प्रमुख कर्मचाऱ्यांकडे पाहिले.

अर्थात, आमच्या उद्योगाच्या वैशिष्ट्यांमुळे आम्हाला खूप मदत झाली - अकाउंटिंग फंक्शन्सचे आउटसोर्सिंग. आमचे बहुसंख्य कर्मचारी रशियन कायद्यातील सतत बदलांचा सामना करतात. त्यानुसार, दोन डझन नवीन नियमांचा परिचय जे आता पाळले पाहिजेत हे त्यांच्यासाठी काही सामान्य नव्हते.

आम्ही आमच्या सर्व कर्मचाऱ्यांसाठी नवीन अनिवार्य ISO 27001 प्रशिक्षण आणि चाचणी तयार केली आहे. प्रत्येकाने आज्ञाधारकपणे त्यांच्या मॉनिटर्समधून पासवर्ड असलेल्या चिकट नोट्स काढल्या आणि कागदपत्रांनी भरलेले डेस्क साफ केले. कोणताही मोठा असंतोष दिसून आला नाही - सर्वसाधारणपणे, आम्ही आमच्या कर्मचार्‍यांसह खूप भाग्यवान होतो.

अशा प्रकारे, आम्ही सर्वात वेदनादायक टप्पा पार केला आहे - "उदासीनता" - आमच्या व्यवसाय प्रक्रियेतील बदलांशी संबंधित. हे कठीण आणि कठीण होते, परंतु शेवटी परिणाम आमच्या सर्व जंगली अपेक्षा ओलांडला.

मालिकेतील मागील साहित्य वाचा:

ISO/IEC 5 प्रमाणपत्राच्या अपरिहार्यतेचे 27001 टप्पे. नकार: ISO 27001:2013 प्रमाणन, प्रमाणपत्र मिळविण्याची योग्यता याबद्दल गैरसमज.

ISO/IEC 5 प्रमाणपत्राच्या अपरिहार्यतेचे 27001 टप्पे. राग: कुठून सुरुवात करू? प्रारंभिक डेटा. खर्च. प्रदाता निवडत आहे.

ISO/IEC 5 प्रमाणपत्राच्या अपरिहार्यतेचे 27001 टप्पे. सौदेबाजी: अंमलबजावणी योजना तयार करणे, जोखीम मूल्यांकन, धोरणे लिहिणे.

ISO/IEC 5 प्रमाणपत्राच्या अपरिहार्यतेचे 27001 टप्पे. नैराश्य.

ISO/IEC 5 प्रमाणपत्राच्या अपरिहार्यतेचे 27001 टप्पे. दत्तक.

स्त्रोत: www.habr.com