ISO/IEC 5 प्रमाणपत्राच्या अपरिहार्यतेचे 27001 टप्पे. नकार

कंपनीसाठी कोणताही धोरणात्मकदृष्ट्या महत्त्वाचा निर्णय घेताना, कर्मचारी मूलभूत संरक्षण यंत्रणेतून जातात, ज्याला बदलाला प्रतिसाद देण्याचे 5 टप्पे म्हणून ओळखले जाते (E. Kübler-Ross द्वारे). एका प्रख्यात मानसशास्त्रज्ञाने एकदा भावनिक प्रतिक्रियांचे वर्णन केले, भावनिक प्रतिसादाचे 5 प्रमुख टप्पे हायलाइट केले: नकार, राग, सौदा, नैराश्य आणि शेवटी दत्तक. आम्ही ISO 27001 प्रमाणनासाठी समर्पित लेखांची मालिका तयार केली आहे, जिथे आम्ही प्रत्येक टप्पा पाहू. आज आपण त्यापैकी पहिल्याबद्दल बोलू - नकार.

"शोसाठी" ISO 27001 प्रमाणपत्र मिळवणे हा एक अतिशय संशयास्पद आनंद आहे, कारण त्यासाठी दीर्घ आणि महाग तयारी आवश्यक आहे. शिवाय, जसे ते दाखवते आकडेवारी, हे मानक रशियन फेडरेशनमध्ये अत्यंत लोकप्रिय नाही: आजपर्यंत, केवळ 70 कंपन्यांना अनुपालनासाठी प्रमाणित केले गेले आहे. त्याच वेळी, हे परदेशातील सर्वात लोकप्रिय मानकांपैकी एक आहे, जे माहिती सुरक्षिततेच्या क्षेत्रात व्यवसायाच्या वाढत्या मागण्या पूर्ण करते.

आमची कंपनी अकाउंटिंग फंक्शन्ससाठी आउटसोर्सिंग सेवांची संपूर्ण श्रेणी प्रदान करते: अकाउंटिंग आणि टॅक्स अकाउंटिंग, वेतन आणि कर्मचारी प्रशासन. विशेषत: रशियामध्ये शाखा असलेल्या विदेशी कंपन्या त्यांच्या गोपनीय माहितीवर आमच्यावर विश्वास ठेवतात या वस्तुस्थितीमुळे आम्ही बाजारपेठेतील अग्रगण्य स्थानांवर कब्जा करतो. हे केवळ आमच्या क्लायंटच्या आर्थिक प्रक्रियेलाच लागू होत नाही, तर आम्ही ज्या वैयक्तिक डेटावर दैनंदिन काम करतो त्यावरही लागू होते. या संदर्भात, माहिती सुरक्षिततेचा मुद्दा आमच्या प्राधान्यांपैकी एक आहे.

बहुतेकदा, रशियन विभागांच्या सर्व व्यावसायिक प्रक्रिया परदेशी कंपन्यांच्या मुख्य कार्यालयांद्वारे नियंत्रित आणि घोषित केल्या जातात आणि म्हणून त्यांनी अंतर्गत गट-व्यापी मानकांचे पालन केले पाहिजे. अलीकडे, आमच्या काही प्रमुख क्लायंटनी त्यांची सुरक्षा धोरणे कडक करण्याच्या दिशेने सुधारणा करण्यास सुरुवात केली आहे. अर्थात, हे सायबर हल्ले आणि माहिती सुरक्षा उल्लंघनाच्या घटनांशी संबंधित नुकसानांच्या वाढत्या संख्येच्या जागतिक ट्रेंडमुळे आहे. कंपनीची माहिती सुरक्षा वाढवण्याच्या उद्देशाने संरक्षण उपाय, धोरणे आणि कार्यपद्धती लागू करणे आवश्यक असल्यास, तुम्ही ISO शिवाय करू शकता. /IEC 27001 प्रमाणन, त्यामुळे खूप पैसा, वेळ आणि मज्जातंतूंची बचत होते.

आज, कंपनीमध्ये विद्यमान माहिती सुरक्षिततेसाठी आवश्यकता परदेशी ग्राहकांच्या निविदांमध्ये दिसू लागल्या आहेत. काही, त्यांचे सत्यापन सुलभ करण्यासाठी आणि दृष्टीकोन एकत्रित करण्यासाठी, अनिवार्य मूल्यमापन निकष सेट करतात - ISO/IEC 27001 प्रमाणपत्राची उपस्थिती.

आम्ही जे पाहिले ते येथे आहे: या मानकांना प्रमाणित केलेल्या आमच्या प्रमुख आंतरराष्ट्रीय क्लायंटपैकी एकाने त्याच्या जागतिक माहिती सुरक्षा टीमला लक्षणीयरीत्या मजबूत केले आहे असे दिसते. आम्हाला याबद्दल कसे कळले? त्यांनी आमच्या माहिती सुरक्षा व्यवस्थापन प्रणालीचे ऑडिट करण्याचा निर्णय घेतला, कारण आम्ही त्यांना लेखा सेवा आणि कर्मचारी प्रशासन प्रदान करतो - आणि त्यानुसार, आमच्या माहिती प्रणालीची सुरक्षा त्यांच्यासाठी अत्यंत महत्त्वाची आहे. मागील ऑडिट 3 वर्षांपूर्वी झाले होते - त्या वेळी सर्व काही वेदनारहित होते.

यावेळी, भारतीयांच्या मैत्रीपूर्ण संघाने आमच्यावर हल्ला केला, आमच्या सुरक्षा व्यवस्थापन प्रणालीतील अनेक डझन उणिवा चतुराईने उघड केल्या. ऑडिट प्रक्रिया संसाराच्या चाकासारखी होती - असे दिसते की ऑडिटचा भाग म्हणून कोणत्याही अंतिम टप्प्यावर पोहोचण्याचे त्यांचे ध्येय नव्हते. हे प्रश्न, टिप्पण्या, आमच्या टिप्पण्या आणि त्यांच्या वास्तविकतेचे पुरावे, कॉन्फरन्स कॉल्स आणि क्लायंटच्या IT सुरक्षा टीमचा उच्चार ओळखण्याच्या प्रयत्नांमध्ये दीर्घ तात्विक संभाषणांचा अंतहीन स्ट्रिंग होता. तसे, ऑडिट आजपर्यंत वेगवेगळ्या तीव्रतेसह चालू आहे - कालांतराने, आम्ही याच्याशी सहमत झालो आहोत. त्यामुळे स्वत:च प्रमाणपत्राची गरज निर्माण झाली आहे.

कदाचित आम्ही ISO 9001 सह करू शकतो?

कोणत्याही ISO मानकांनुसार प्रमाणन जारी करण्यात कमी-अधिक जाणकार असलेल्या प्रत्येकाला हे समजते की त्या प्रत्येकाचा आधार ISO 9001 “गुणवत्ता व्यवस्थापन प्रणाली” प्रमाणपत्र आहे. ISO मानकांच्या संपूर्ण ओळीत हे कदाचित सर्वात लोकप्रिय प्रमाणपत्र आहे. आमच्याकडे ते नव्हते - आणि आम्ही ते न मिळवण्याचा निर्णय घेतला. याची अनेक कारणे होती:

• हे प्रमाणपत्र असलेल्या कंपनीची आर्थिक कार्यक्षमता संशयास्पद आहे;
• आमच्या अंतर्गत प्रक्रिया, बहुतेक भागांसाठी, आधीच या मानकाच्या जवळ होत्या;
• हे प्रमाणपत्र मिळविण्यासाठी अतिरिक्त वेळ आणि पैसा लागेल.

त्यानुसार, आम्ही "लाइटर" 27001 सह प्रारंभ न करता, लगेचच ISO 9001 लागू करण्याचा निर्णय घेतला.

किंवा कदाचित ते अद्याप आवश्यक नाही?

पुढे पाहताना, ते मिळवणे उचित आहे की नाही या प्रश्नावर आम्ही अनेक वेळा परतलो आहोत. आम्ही सर्व बाजूंनी या समस्येचा अभ्यास करू लागलो, कारण आमच्याकडे कोणतेही कौशल्य नव्हते. आणि या मुद्द्याबद्दल आम्हाला पुन्हा एकदा विचार करायला लावणारे गैरसमज येथे आहेत.

गैरसमज #1.
आम्हाला आशा आहे की मानक आम्हाला तपशीलवार चेकलिस्ट, धोरणांची सूची आणि इतर वैधानिक दस्तऐवज प्रदान करेल. प्रत्यक्षात, असे दिसून आले की आयएसओ/आयईसी 27001 ही माहिती सुरक्षा व्यवस्थापन प्रणाली आणि तयार केलेल्या प्रक्रियेसाठी आवश्यकतेचा एक संच आहे. त्यांच्या आधारे, मानकांच्या आवश्यकतांचे पालन करण्यासाठी आमच्या कंपनीमध्ये काय लिहायचे/अंमलात आणायचे हे स्वतंत्रपणे ठरवणे आवश्यक होते.

गैरसमज #2.
एका दस्तऐवजाचा अभ्यास करणे आणि तुलनेने कमी वेळेत ते स्वतःच अंमलात आणणे पुरेसे आहे असा आमचा प्रामाणिक विश्वास होता. प्रत्यक्षात, दस्तऐवज वाचताना, आम्हाला लक्षात आले की आमचे मानक किती संबंधित मानकांशी "चिकटलेले" आहे, आम्हाला किती मानकांशी परिचित होणे आवश्यक आहे (किमान वरवर). केकवरील "चेरी" म्हणजे सार्वजनिक डोमेनमधील वर्तमान मानक मजकुराचा अभाव - ते अधिकृत ISO वेबसाइटवर खरेदी करावे लागले.

गैरसमज #3.
आम्हाला खात्री होती की आम्हाला प्रमाणपत्रासाठी तयार करण्यासाठी आवश्यक असलेल्या सर्व गोष्टी खुल्या स्त्रोतांमध्ये सापडतील. इंटरनेटवर आयएसओ 27001 वर खरोखरच बरीच सामग्री होती, परंतु त्याऐवजी विशिष्ट गोष्टींचा अभाव होता. प्रमाणीकरणाच्या तयारीसाठी, तसेच ज्या कंपन्यांनी हे मानक लागू केले आहे अशा कंपन्यांच्या वास्तविक प्रकरणांमध्ये व्यावहारिकपणे समजण्यास सोप्या चरण-दर-चरण सूचना नाहीत.

गैरसमज #4.
आम्ही धोरणे लिहू, पण ती चालणार नाहीत! बरं, हे खरं आहे, आमच्या कंपनीचे आधीच बरेच नियम आहेत, कोणीही आणखी 3 डझन नवीन धोरणांचे पालन करणार नाही. प्रत्यक्षात, सुदैवाने, आमच्या कर्मचार्‍यांनी नवीन नियमांमध्ये जबाबदारीने प्रभुत्व मिळवण्याचे काम केले आणि माहिती सुरक्षा व्यवस्थापन प्रणाली दस्तऐवजांच्या ज्ञानासाठी चाचणी यशस्वीपणे उत्तीर्ण केली.

गैरसमज #5.
त्या वेळी, आमच्या प्रयत्नांमुळे आम्हाला कोणते फायदे मिळतील हे आम्ही स्पष्टपणे मूल्यांकन करू शकत नाही. त्या वेळी, या प्रमाणपत्रासाठी विनंत्यांची संख्या इतकी मोठी नव्हती आणि आमच्याकडे प्रमाणीकरणापूर्वीच आमचा प्रमुख आणि सर्वात मागणी असलेला क्लायंट होता. अनुभवाने दर्शविले की आम्ही मानकांशिवाय व्यवस्थापित केले.

काही क्षणी, आमच्या लक्षात आले की क्लायंटच्या आवश्यकतांमुळे आम्ही एक किंवा दुसरी उदयोन्मुख अंतर अराजकपणे बंद करत आहोत. प्रत्येक वेळी आम्ही काही नवीन धोरणे किंवा उपाय घेऊन आलो. आणि शेवटी आम्ही स्वतंत्रपणे या निष्कर्षावर पोहोचलो की प्रक्रिया व्यवस्थित करणे खूप सोपे होईल, ज्यामुळे भविष्यात आम्हाला खूप श्रमिक खर्च देखील वाचतील. हे कार्य सुलभ करण्यासाठी मानकाचा हेतू होता.

आता, दोन वर्षांनंतर, आम्‍हाला प्रमुख आंतरराष्‍ट्रीय क्‍लायंटच्‍या विनंत्‍यांच्‍या संख्‍येमध्‍ये आणि या इश्यूमध्‍ये रुची वाढताना दिसत आहे.

अंतिम निर्णय.

शेवटी, आम्ही असे म्हणू इच्छितो की आमच्या उद्योगातील नेत्यांना ISO/IEC 27001 प्रमाणपत्र प्राप्त झाले आहे, ज्याने इतर सर्व प्रमुख प्रदाते (आमच्यासह) या समस्येबद्दल विचार करण्यास भाग पाडले आहे. निःसंशयपणे, कंपनीच्या विपणन सामग्रीमध्ये एक सुंदर ओळ - वेबसाइटवर, सोशल नेटवर्क्सवर, जाहिरात ब्रोशरमध्ये इ. - हा एक आनंददायी बोनस मानला जाऊ शकतो, परंतु त्यासाठी इतकी संसाधने खर्च करणे योग्य आहे का? आम्ही स्वतःसाठी ठरवले की आमच्यासाठी ही फक्त एक सुंदर ओळ नाही आणि आम्ही या प्रकल्पात सामील झालो.

स्त्रोत: www.habr.com