ISO 27001 कसे लागू करावे: वापरासाठी सूचना

आज, कंपन्यांच्या माहितीच्या सुरक्षेचा (यापुढे माहिती सुरक्षा म्हणून संदर्भित) हा मुद्दा जगातील सर्वात दाबणारा आहे. आणि हे आश्चर्यकारक नाही, कारण बर्‍याच देशांमध्ये वैयक्तिक डेटा संग्रहित आणि प्रक्रिया करणार्‍या संस्थांसाठी आवश्यकता कडक केली जाते. सध्या, रशियन कायद्याने कागदाच्या स्वरूपात दस्तऐवज प्रवाहाचे महत्त्वपूर्ण प्रमाण राखणे आवश्यक आहे. त्याच वेळी, डिजिटलायझेशनकडे कल लक्षणीय आहे: अनेक कंपन्या आधीपासूनच मोठ्या प्रमाणात गोपनीय माहिती डिजिटल स्वरूपात आणि कागदी दस्तऐवजांच्या स्वरूपात संग्रहित करतात.

निकालानुसार सर्वेक्षण अँटी-मालवेअर अॅनालिटिकल सेंटर, 86% प्रतिसादकर्त्यांनी नमूद केले की वर्षभरात त्यांना किमान एकदा सायबर हल्ल्यानंतर किंवा वापरकर्त्याने स्थापित नियमांचे उल्लंघन केल्यामुळे घटनांचे निराकरण करावे लागले. या संदर्भात, व्यवसायात माहितीच्या सुरक्षिततेला प्राधान्य देणे ही एक गरज बनली आहे.

सध्या, कॉर्पोरेट माहिती सुरक्षा केवळ तांत्रिक माध्यमांचा संच नाही, जसे की अँटीव्हायरस किंवा फायरवॉल, तो आधीपासूनच सामान्यत: कंपनीची मालमत्ता आणि विशेषतः माहिती हाताळण्यासाठी एक एकीकृत दृष्टीकोन आहे. कंपन्या या समस्यांना वेगळ्या पद्धतीने पाहतात. आज आम्ही अशा समस्येचे निराकरण म्हणून आंतरराष्ट्रीय मानक ISO 27001 च्या अंमलबजावणीबद्दल बोलू इच्छितो. रशियन बाजारातील कंपन्यांसाठी, अशा प्रमाणपत्राची उपस्थिती परदेशी क्लायंट आणि भागीदारांशी संवाद साधणे सुलभ करते ज्यांना या प्रकरणात उच्च आवश्यकता आहे. ISO 27001 चा पश्चिमेत मोठ्या प्रमाणावर वापर केला जातो आणि माहिती सुरक्षेच्या क्षेत्रातील आवश्यकता समाविष्ट करते, ज्या वापरलेल्या तांत्रिक उपायांद्वारे कव्हर केल्या पाहिजेत आणि व्यवसाय प्रक्रियेच्या विकासासाठी देखील योगदान देतात. अशाप्रकारे, हे मानक तुमचा स्पर्धात्मक फायदा आणि परदेशी कंपन्यांशी संपर्काचा बिंदू बनू शकते.

माहिती सुरक्षा व्यवस्थापन प्रणालीच्या या प्रमाणपत्राने (यापुढे ISMS म्हणून संदर्भित) ISMS डिझाइन करण्यासाठी सर्वोत्तम पद्धती एकत्रित केल्या आहेत आणि महत्त्वाचे म्हणजे, सिस्टमचे कार्य सुनिश्चित करण्यासाठी नियंत्रण साधने निवडण्याची शक्यता, तांत्रिक सुरक्षा समर्थनाची आवश्यकता आणि अगदी कंपनीतील कर्मचारी व्यवस्थापन प्रक्रियेसाठी. शेवटी, हे समजून घेणे आवश्यक आहे की तांत्रिक बिघाड हा केवळ समस्येचा एक भाग आहे. माहितीच्या सुरक्षिततेच्या बाबतीत, मानवी घटक खूप मोठी भूमिका बजावतात आणि ते दूर करणे किंवा कमी करणे अधिक कठीण आहे.

जर तुमची कंपनी ISO 27001 प्रमाणित होण्याचा विचार करत असेल, तर तुम्ही ते करण्याचा सोपा मार्ग शोधण्याचा प्रयत्न केला असेल. आम्हाला तुम्हाला निराश करावे लागेल: येथे कोणतेही सोपे मार्ग नाहीत. तथापि, अशी काही पावले आहेत जी आंतरराष्ट्रीय माहिती सुरक्षा आवश्यकतांसाठी संस्थेला तयार करण्यात मदत करतील:

1. व्यवस्थापनाकडून समर्थन मिळवा

तुम्हाला हे स्पष्ट वाटेल, परंतु व्यवहारात या मुद्द्याकडे अनेकदा दुर्लक्ष केले जाते. शिवाय, ISO 27001 अंमलबजावणी प्रकल्प अनेकदा अयशस्वी होण्याचे हे एक मुख्य कारण आहे. मानक अंमलबजावणी प्रकल्पाचे महत्त्व समजून घेतल्याशिवाय, व्यवस्थापन पुरेशी मानव संसाधने किंवा प्रमाणीकरणासाठी पुरेसे बजेट प्रदान करणार नाही.

2. प्रमाणन तयारी योजना विकसित करा

ISO 27001 प्रमाणपत्रासाठी तयारी करणे हे एक जटिल कार्य आहे ज्यामध्ये विविध प्रकारचे काम समाविष्ट आहे, मोठ्या संख्येने लोकांचा सहभाग आवश्यक आहे आणि अनेक महिने (किंवा अगदी वर्षे) लागू शकतात. म्हणून, तपशीलवार प्रकल्प योजना तयार करणे खूप महत्वाचे आहे: काटेकोरपणे परिभाषित कार्यांसाठी संसाधने, वेळ आणि लोकांच्या सहभागाचे वाटप करा आणि मुदतींच्या अनुपालनाचे निरीक्षण करा - अन्यथा आपण कधीही काम पूर्ण करू शकणार नाही.

3. प्रमाणन परिमिती परिभाषित करा

तुमच्याकडे वैविध्यपूर्ण क्रियाकलाप असलेली एक मोठी संस्था असल्यास, कंपनीच्या व्यवसायाचा फक्त भाग ISO 27001 मध्ये प्रमाणित करणे अर्थपूर्ण ठरू शकते, ज्यामुळे तुमच्या प्रकल्पाची जोखीम तसेच त्याचा वेळ आणि खर्च लक्षणीयरीत्या कमी होईल.

4. माहिती सुरक्षा धोरण विकसित करा

सर्वात महत्त्वाच्या कागदपत्रांपैकी एक म्हणजे कंपनीचे माहिती सुरक्षा धोरण. ते तुमच्या कंपनीची माहिती सुरक्षा उद्दिष्टे आणि माहिती सुरक्षा व्यवस्थापनाची मूलभूत तत्त्वे प्रतिबिंबित करतात, ज्याचे सर्व कर्मचाऱ्यांनी पालन केले पाहिजे. या दस्तऐवजाचा उद्देश माहिती सुरक्षेच्या क्षेत्रात कंपनीच्या व्यवस्थापनाला काय साध्य करायचे आहे, तसेच याची अंमलबजावणी आणि नियंत्रण कसे केले जाईल हे निर्धारित करणे हा आहे.

5. जोखीम मूल्यांकन पद्धती परिभाषित करा

सर्वात कठीण कामांपैकी एक म्हणजे जोखीम मूल्यांकन आणि व्यवस्थापनासाठी नियम परिभाषित करणे. कंपनी कोणती जोखीम स्वीकार्य मानू शकते आणि ती कमी करण्यासाठी तत्काळ कारवाई करणे आवश्यक आहे हे समजून घेणे महत्त्वाचे आहे. या नियमांशिवाय, ISMS कार्य करणार नाही.
त्याच वेळी, जोखीम कमी करण्यासाठी केलेल्या उपाययोजनांची पर्याप्तता लक्षात ठेवण्यासारखे आहे. परंतु आपण ऑप्टिमायझेशन प्रक्रियेत जास्त वाहून जाऊ नये, कारण त्यांना मोठा वेळ किंवा आर्थिक खर्च देखील करावा लागतो किंवा ते अशक्य असू शकते. आम्ही शिफारस करतो की जोखीम कमी करण्याचे उपाय विकसित करताना तुम्ही "किमान पुरेशी" तत्त्व वापरा.

6. मान्यताप्राप्त पद्धतीनुसार जोखीम व्यवस्थापित करा

पुढील टप्पा म्हणजे जोखीम व्यवस्थापन पद्धतीचा सातत्यपूर्ण वापर, म्हणजेच त्यांचे मूल्यांकन आणि प्रक्रिया. ही प्रक्रिया अत्यंत सावधगिरीने नियमितपणे केली पाहिजे. माहिती सुरक्षा जोखीम नोंदणी अद्ययावत ठेवून, तुम्ही कंपनीच्या संसाधनांचे प्रभावीपणे वाटप करण्यात आणि गंभीर घटना टाळण्यास सक्षम असाल.

7. जोखीम उपचार योजना करा

तुमच्या कंपनीसाठी स्वीकार्य पातळीपेक्षा जास्त जोखीम जोखीम उपचार योजनेमध्ये समाविष्ट करणे आवश्यक आहे. यात जोखीम कमी करण्याच्या उद्देशाने केलेल्या कृती तसेच त्यांच्यासाठी जबाबदार व्यक्ती आणि मुदतीची नोंद करावी.

8. लागूतेचे विधान पूर्ण करा

हा एक प्रमुख दस्तऐवज आहे ज्याचा ऑडिट दरम्यान प्रमाणन संस्थेच्या तज्ञांद्वारे अभ्यास केला जाईल. तुमच्या कंपनीच्या क्रियाकलापांवर कोणती माहिती सुरक्षा नियंत्रणे लागू होतात याचे वर्णन केले पाहिजे.

9. माहिती सुरक्षा नियंत्रणांची परिणामकारकता कशी मोजली जाईल हे ठरवा.

स्थापन केलेल्या उद्दिष्टांच्या पूर्ततेसाठी कोणत्याही कृतीचा परिणाम असणे आवश्यक आहे. त्यामुळे, संपूर्ण माहिती सुरक्षा व्यवस्थापन प्रणालीसाठी आणि उपयोज्यता परिशिष्टातून निवडलेल्या प्रत्येक नियंत्रण यंत्रणेसाठी लक्ष्यांची प्राप्ती कोणत्या पॅरामीटर्सद्वारे मोजली जाईल हे स्पष्टपणे परिभाषित करणे महत्त्वाचे आहे.

10. माहिती सुरक्षा नियंत्रणे लागू करा

आणि मागील सर्व पायऱ्या पूर्ण केल्यावरच तुम्ही लागू होणार्‍या परिशिष्टातून लागू माहिती सुरक्षा नियंत्रणे लागू करणे सुरू केले पाहिजे. येथे सर्वात मोठे आव्हान, अर्थातच, तुमच्या संस्थेच्या अनेक प्रक्रियांमध्ये गोष्टी करण्याचा एक पूर्णपणे नवीन मार्ग सादर करणे असेल. लोक नवीन धोरणे आणि कार्यपद्धतींना विरोध करतात, म्हणून पुढील मुद्द्याकडे लक्ष द्या.

11. कर्मचाऱ्यांसाठी प्रशिक्षण कार्यक्रम राबवा

जर तुमच्या कर्मचार्‍यांना प्रकल्पाचे महत्त्व समजले नाही आणि माहिती सुरक्षा धोरणांनुसार कार्य केले नाही तर वर वर्णन केलेले सर्व मुद्दे निरर्थक असतील. तुमच्या कर्मचार्‍यांनी सर्व नवीन नियमांचे पालन करावे असे तुम्हाला वाटत असल्यास, तुम्ही प्रथम लोकांना ते का आवश्यक आहेत हे समजावून सांगणे आवश्यक आहे, आणि नंतर ISMS वर प्रशिक्षण प्रदान करणे आवश्यक आहे, ज्या सर्व महत्त्वाच्या धोरणांना कर्मचार्‍यांनी त्यांच्या दैनंदिन कामात विचारात घेणे आवश्यक आहे. ISO 27001 प्रकल्प अयशस्वी होण्यासाठी कर्मचारी प्रशिक्षणाचा अभाव हे एक सामान्य कारण आहे.

12. ISMS प्रक्रिया सांभाळा

या टप्प्यावर, तुमच्या संस्थेमध्ये ISO 27001 ही रोजची दिनचर्या बनते. मानकांनुसार माहिती सुरक्षा नियंत्रणांच्या अंमलबजावणीची पुष्टी करण्यासाठी, ऑडिटर्सना रेकॉर्ड प्रदान करणे आवश्यक आहे - नियंत्रणांच्या वास्तविक ऑपरेशनचे पुरावे. परंतु सर्वात महत्त्वाचे म्हणजे, तुमचे कर्मचारी (आणि पुरवठादार) मान्यताप्राप्त नियमांनुसार त्यांची कार्ये करत आहेत की नाही याचा मागोवा घेण्यासाठी रेकॉर्डने तुम्हाला मदत केली पाहिजे.

13. तुमच्या ISMS चे निरीक्षण करा

तुमच्या ISMS चे काय चालले आहे? तुमच्याकडे किती घटना आहेत, त्या कोणत्या प्रकारच्या आहेत? सर्व प्रक्रिया योग्यरित्या पाळल्या जातात का? या प्रश्नांसह, तुम्ही कंपनीने माहिती सुरक्षा उद्दिष्टे पूर्ण करत आहेत की नाही हे तपासावे. नसल्यास, आपण परिस्थिती सुधारण्यासाठी एक योजना विकसित करणे आवश्यक आहे.

14. अंतर्गत ISMS ऑडिट करा

अंतर्गत ऑडिटचा उद्देश कंपनीमधील वास्तविक प्रक्रिया आणि मंजूर माहिती सुरक्षा धोरणांमधील विसंगती ओळखणे हा आहे. बर्‍याच भागांसाठी, तुमचे कर्मचारी नियमांचे किती चांगले पालन करत आहेत हे तपासत आहे. हा एक अतिशय महत्त्वाचा मुद्दा आहे, कारण जर तुम्ही तुमच्या कर्मचार्‍यांच्या कामावर नियंत्रण ठेवले नाही तर संस्थेचे नुकसान होऊ शकते (हेतू किंवा अनावधानाने). परंतु येथे ध्येय गुन्हेगार शोधणे आणि धोरणांचे पालन न केल्याबद्दल त्यांना शिस्त लावणे हे नाही तर परिस्थिती सुधारणे आणि भविष्यातील समस्या टाळणे हे आहे.

15. व्यवस्थापन पुनरावलोकन आयोजित करा

व्यवस्थापनाने तुमची फायरवॉल कॉन्फिगर करू नये, परंतु त्यांना ISMS मध्ये काय चालले आहे हे माहित असले पाहिजे: उदाहरणार्थ, प्रत्येकजण त्यांच्या जबाबदाऱ्या पूर्ण करत आहे की नाही आणि ISMS त्याचे लक्ष्य परिणाम साध्य करत आहे की नाही. यावर आधारित, व्यवस्थापनाने ISMS आणि अंतर्गत व्यवसाय प्रक्रिया सुधारण्यासाठी महत्त्वाचे निर्णय घेणे आवश्यक आहे.

16. सुधारात्मक आणि प्रतिबंधात्मक कृतींची प्रणाली सादर करा

कोणत्याही मानकांप्रमाणे, ISO 27001 ला "सतत सुधारणा" आवश्यक आहे: माहिती सुरक्षा व्यवस्थापन प्रणालीमधील विसंगतींची पद्धतशीर सुधारणा आणि प्रतिबंध. सुधारात्मक आणि प्रतिबंधात्मक कृतींद्वारे, गैर-अनुरूपता दुरुस्त केली जाऊ शकते आणि भविष्यात पुनरावृत्ती होण्यापासून प्रतिबंधित केली जाऊ शकते.

शेवटी, मी असे म्हणू इच्छितो की खरं तर, विविध स्त्रोतांमध्ये वर्णन केलेल्या पेक्षा प्रमाणित करणे अधिक कठीण आहे. रशियामध्ये आज फक्त आहेत या वस्तुस्थितीद्वारे याची पुष्टी केली जाते 78 कंपन्या अनुपालनासाठी प्रमाणित केले आहे. त्याच वेळी, हे परदेशातील सर्वात लोकप्रिय मानकांपैकी एक आहे, जे माहिती सुरक्षिततेच्या क्षेत्रात व्यवसायाच्या वाढत्या मागण्या पूर्ण करते. अंमलबजावणीची ही मागणी केवळ धोक्यांच्या प्रकारांच्या वाढीमुळे आणि जटिलतेमुळेच नाही तर कायद्याच्या आवश्यकतांमुळे तसेच ग्राहकांना त्यांच्या डेटाची संपूर्ण गोपनीयता राखण्याची आवश्यकता आहे.

ISMS प्रमाणन हे सोपे काम नसले तरीही, आंतरराष्ट्रीय मानक ISO/IEC 27001 च्या आवश्यकता पूर्ण करणे ही वस्तुस्थिती जागतिक बाजारपेठेत एक गंभीर स्पर्धात्मक फायदा देऊ शकते. आम्हाला आशा आहे की आमच्या लेखाने कंपनीला प्रमाणपत्रासाठी तयार करण्याच्या मुख्य टप्प्यांबद्दल प्राथमिक समज दिली आहे.

स्त्रोत: www.habr.com