ISO/IEC 5 प्रमाणीकरणको अपरिहार्यताको 27001 चरणहरू। डिप्रेसन

परिवर्तनको लागि भावनात्मक प्रतिक्रियाको चौथो चरण अवसाद हो। यस लेखमा हामी तपाईंलाई सबैभन्दा लामो र अप्रिय चरण पार गर्ने हाम्रो अनुभवको बारेमा बताउनेछौं - ISO 27001 मानकको साथ उनीहरूको अनुपालन प्राप्त गर्न कम्पनीको व्यापार प्रक्रियाहरूमा परिवर्तनहरू बारे।

पर्खँदै

प्रमाणिकरण निकाय र परामर्शदाता छनोट गरेपछि हामीले आफैलाई सोधेको पहिलो प्रश्न भनेको सबै आवश्यक परिवर्तनहरू गर्न हामीलाई कति समय चाहिन्छ?

प्रारम्भिक कार्ययोजना यसरी तय गरिएको थियो कि हामीले ३ महिनाभित्र पूरा गर्नुपर्ने थियो ।

सबै कुरा सरल देखिन्थ्यो: दर्जनौं नीतिहरू लेख्न र हाम्रो आन्तरिक प्रक्रियाहरूलाई थोरै परिवर्तन गर्न आवश्यक थियो; त्यसपछि परिवर्तनहरूमा सहकर्मीहरूलाई तालिम दिनुहोस् र अर्को 3 महिना पर्खनुहोस् (ताकि "रेकर्डहरू" देखा पर्छन्, अर्थात्, नीतिहरूको कार्यको प्रमाण)। यस्तो लाग्थ्यो कि त्यो सबै थियो - र प्रमाणपत्र हाम्रो खल्तीमा थियो।

थप रूपमा, हामी स्क्र्याचबाट नीतिहरू लेख्न गइरहेका थिएनौं - आखिर, हामीसँग एक सल्लाहकार थियो, जसलाई हामीले सोचेका थियौं, हामीलाई सबै "सही" टेम्प्लेटहरू दिनु पर्ने थियो।

यी निष्कर्षहरूको परिणाम स्वरूप, हामीले प्रत्येक नीति तयार गर्न 3 दिन छुट्यायौं।

प्राविधिक परिवर्तनहरू पनि डरलाग्दो देखिएनन्: घटनाहरूको सङ्कलन र भण्डारण सेटअप गर्न आवश्यक थियो, ब्याकअपहरूले हामीले लेखेको नीति अनुरूप छन् कि छैनन् जाँच्न, आवश्यक भएमा पहुँच नियन्त्रण प्रणालीहरू सहित कार्यालयहरूलाई पुन: प्राप्त गर्न, र केही अन्य साना कुराहरू। ।
प्रमाणीकरणका लागि आवश्यक सबै तयारी गर्ने टोलीमा दुई जना थिए। हामीले योजना बनायौं कि तिनीहरू तिनीहरूको मुख्य जिम्मेवारीहरूसँग समानान्तर रूपमा कार्यान्वयनमा संलग्न हुनेछन्, र तिनीहरू प्रत्येकलाई दिनको अधिकतम 1,5-2 घण्टा लाग्नेछ।
संक्षेपमा, हामी भन्न सक्छौं कि कामको आगामी दायराको हाम्रो दृष्टिकोण एकदम आशावादी थियो।

वास्तविकता

वास्तवमा, सबै कुरा स्वाभाविक रूपमा फरक थियो: परामर्शदाता द्वारा प्रदान गरिएको नीति टेम्प्लेटहरू प्रायः हाम्रो कम्पनीमा लागू नहुने देखियो; के र कसरी गर्ने भन्ने बारे इन्टरनेटमा लगभग कुनै स्पष्ट जानकारी थिएन। तपाईले कल्पना गर्न सक्नुहुन्छ, "३ दिनमा एउटा नीति लेख्ने" योजना नराम्ररी असफल भयो। त्यसैले हामीले परियोजनाको सुरुदेखि नै समयसीमा भेट्न छाड्यौं, र हाम्रो मुड बिस्तारै खस्किन थाल्यो।

टोलीको विशेषज्ञता विनाशकारी रूपमा सानो थियो - यति धेरै कि यो सल्लाहकारलाई सही प्रश्नहरू सोध्न पर्याप्त थिएन (जसले, वैसे, धेरै पहल गरेन)। चीजहरू अझ बिस्तारै सार्न थाले, कार्यान्वयन सुरु भएको 3 महिना पछि (अर्थात, सबै कुरा तयार हुनु पर्ने क्षणमा), दुई प्रमुख सहभागी मध्ये एकले टोली छोडे। उहाँलाई आईटी सेवाको नयाँ प्रमुखद्वारा प्रतिस्थापन गरिएको थियो, जसले छिटो कार्यान्वयन प्रक्रिया पूरा गर्नुपर्‍यो र प्राविधिक दृष्टिकोणबाट आवश्यक सबै कुराको साथ सूचना सुरक्षा व्यवस्थापन प्रणाली प्रदान गर्नुपर्‍यो। काम गाह्रो देखिन्थ्यो... इन्चार्जहरू उदास हुन थाले।

थप रूपमा, मुद्दाको प्राविधिक पक्ष पनि "निष्कर्षहरू" भएको थियो। हामी दुबै कार्यस्थान र सर्भर उपकरणहरूमा विश्वव्यापी सफ्टवेयर आधुनिकीकरणको कार्यको सामना गरिरहेका छौं। घटनाहरू (लगहरू) सङ्कलन गर्न प्रणाली सेटअप गर्दा, यो पत्ता लाग्यो कि हामीसँग प्रणालीको सामान्य कार्यका लागि पर्याप्त हार्डवेयर स्रोतहरू छैनन्। र ब्याकअप सफ्टवेयरलाई पनि आधुनिकीकरण चाहिन्छ।

स्पोइलर: नतिजाको रूपमा, ISMS 6 महिनामा वीरतापूर्वक लागू गरिएको थियो। र कोही मरे पनि!

के धेरै परिवर्तन भएको छ?

अवश्य पनि, मानकको कार्यान्वयनको क्रममा, कम्पनीको प्रक्रियाहरूमा ठूलो संख्यामा साना परिवर्तनहरू देखा पर्यो। हामीले तपाईंको लागि सबैभन्दा महत्त्वपूर्ण परिवर्तनहरू हाइलाइट गरेका छौं:

• जोखिम मूल्याङ्कन प्रक्रियाको औपचारिकीकरण

पहिले, कम्पनीसँग कुनै औपचारिक जोखिम मूल्याङ्कन प्रक्रिया थिएन - यो केवल समग्र रणनीतिक योजनाको भागको रूपमा पारित गरिएको थियो। प्रमाणीकरणको भागको रूपमा समाधान गरिएको सबैभन्दा महत्त्वपूर्ण कार्यहरू मध्ये एक कम्पनीको जोखिम मूल्याङ्कन नीतिको कार्यान्वयन थियो, जसले यस प्रक्रियाका सबै चरणहरू र प्रत्येक चरणका लागि जिम्मेवार व्यक्तिहरू वर्णन गर्दछ।

• हटाउन सकिने भण्डारण मिडियामा नियन्त्रण

व्यापारको लागि महत्त्वपूर्ण जोखिमहरू मध्ये एक एन्क्रिप्टेड USB फ्लैश ड्राइभको प्रयोग थियो: वास्तवमा, कुनै पनि कर्मचारीले फ्लैश ड्राइभमा उपलब्ध कुनै पनि जानकारी लेख्न सक्छ र, सबै भन्दा राम्रो, यसलाई गुमाउन सक्छ। प्रमाणीकरणको भागको रूपमा, सबै कर्मचारी कार्यस्थानहरूमा फ्ल्यास ड्राइभहरूमा कुनै पनि जानकारी डाउनलोड गर्ने क्षमता असक्षम गरिएको थियो - जानकारी रेकर्डिङ मात्र IT विभागमा आवेदन मार्फत सम्भव भयो।

• सुपर प्रयोगकर्ता नियन्त्रण

मुख्य समस्याहरू मध्ये एक तथ्य यो थियो कि सबै आईटी विभागका कर्मचारीहरूलाई सबै कम्पनी प्रणालीहरूमा पूर्ण अधिकार थियो - तिनीहरूसँग सबै जानकारीको पहुँच थियो। एकै समयमा, कसैले तिनीहरूलाई वास्तवमै नियन्त्रण गरेन।

हामीले डाटा लोस प्रिभेन्सन (DLP) प्रणाली लागू गरेका छौं - खतरनाक र अनुत्पादक गतिविधिहरूको बारेमा विश्लेषण, ब्लक र अलर्टहरू गर्ने कर्मचारी कार्यहरूको अनुगमन गर्ने कार्यक्रम। अब आईटी विभागका कर्मचारीहरूको कार्यहरूको बारेमा अलर्टहरू कम्पनीको अपरेशन निर्देशकको इमेल ठेगानामा पठाइन्छ।

• सूचना पूर्वाधार व्यवस्थित गर्न दृष्टिकोण

प्रमाणीकरण आवश्यक वैश्विक परिवर्तन र दृष्टिकोण। हो, लोड बढेको कारण हामीले धेरै सर्भर उपकरणहरू अपग्रेड गर्नुपर्‍यो। विशेष गरी, हामीले घटना सङ्कलन प्रणालीहरूको लागि छुट्टै सर्भर समर्पित गरेका छौं। सर्भर ठूलो र छिटो SSD ड्राइव संग सुसज्जित थियो। हामीले ब्याकअप सफ्टवेयर त्याग्यौं र भण्डारण प्रणालीहरू छनौट गर्यौं जसमा बक्स बाहिर सबै आवश्यक कार्यक्षमताहरू छन्। हामीले "कोडको रूपमा पूर्वाधार" अवधारणा तर्फ धेरै ठूला कदमहरू बनायौं, जसले हामीलाई धेरै सर्भरहरूको ब्याकअप हटाएर धेरै डिस्क ठाउँ बचत गर्न अनुमति दियो। सबै भन्दा कम सम्भावित समय (1 हप्ता), कार्यस्थानहरूमा सबै सफ्टवेयर Win10 मा अपग्रेड गरियो। आधुनिकीकरणले समाधान गरेको एउटा मुद्दा एन्क्रिप्शन सक्षम गर्ने क्षमता थियो (प्रो संस्करणमा)।

• कागज कागजातहरूमा नियन्त्रण

कम्पनीसँग कागज कागजातहरूको प्रयोगसँग सम्बन्धित महत्त्वपूर्ण जोखिमहरू थिए: तिनीहरू हराउन, गलत ठाउँमा छोड्न वा अनुचित रूपमा नष्ट हुन सक्छ। यस जोखिमलाई न्यूनीकरण गर्न, हामीले सबै कागजी कागजातहरूलाई गोपनियताको स्तर अनुसार चिन्ह लगाइएका छौं र विभिन्न प्रकारका कागजातहरू नष्ट गर्ने कार्यविधि विकास गरेका छौं। अब, जब एक कर्मचारीले फोल्डर खोल्छ वा कागजात लिन्छ, उसलाई यो जानकारी कुन श्रेणीमा पर्दछ र यसलाई कसरी ह्यान्डल गर्ने भनेर ठ्याक्कै थाहा हुन्छ।

• ब्याकअप डाटा सेन्टर भाडामा लिदै

पहिले, कम्पनीको सबै जानकारी तेस्रो-पक्ष सुरक्षित डाटा केन्द्रमा अवस्थित सर्भरहरूमा भण्डारण गरिएको थियो। यद्यपि, यस डाटा सेन्टरमा कुनै आपतकालीन प्रक्रियाहरू थिएनन्। समाधान भनेको ब्याकअप क्लाउड डाटा सेन्टर भाडामा लिनु र त्यहाँ सबैभन्दा महत्त्वपूर्ण जानकारी जगेडा गर्नु थियो। हाल, कम्पनीको जानकारी दुई भौगोलिक रूपमा टाढा डेटा केन्द्रहरूमा भण्डार गरिएको छ, जसले यसको नोक्सानको जोखिमलाई कम गर्दछ।

• व्यापार निरन्तरता परीक्षण

हाम्रो कम्पनीसँग धेरै वर्षदेखि व्यापार निरन्तरता नीति (BCP) रहेको छ, जसले विभिन्न नकारात्मक परिदृश्यहरूमा (कार्यालयमा पहुँच गुमाउने, महामारी, पावर आउटेज, आदि) मा कर्मचारीहरूले के गर्नुपर्छ भनेर वर्णन गर्दछ। यद्यपि, हामीले कहिल्यै निरन्तरता परीक्षण सञ्चालन गरेका छैनौं - अर्थात्, हामीले यी प्रत्येक परिस्थितिमा व्यवसायलाई पुनर्स्थापना गर्न कति समय लिनेछ भनेर कहिल्यै मापन गरेका छैनौं। प्रमाणीकरण अडिटको तयारीमा, हामीले यो मात्र गरेनौं, तर आगामी वर्षको लागि व्यापार निरन्तरता परीक्षण योजना पनि विकास गर्यौं। यो ध्यान दिन लायक छ कि एक वर्ष पछि, जब हामीलाई पूर्ण रूपमा टाढाको काममा स्विच गर्न आवश्यक थियो, हामीले यो काम तीन दिनमा पूरा गर्यौं।

यो नोट गर्न महत्त्वपूर्ण छ, प्रमाणीकरणको लागि तयारी गरिरहेका सबै कम्पनीहरूको विभिन्न सुरूवात अवस्थाहरू छन् - त्यसैले, तपाईंको मामलामा, पूर्ण रूपमा फरक परिवर्तनहरू आवश्यक हुन सक्छ।

परिवर्तनहरूमा कर्मचारी प्रतिक्रियाहरू

अचम्मको कुरा - यहाँ हामीले सबैभन्दा नराम्रो अपेक्षा गरेका थियौं - यो धेरै खराब भएन। सहकर्मीहरूले ठूलो उत्साहका साथ प्रमाणीकरणको समाचार प्राप्त गरे भनेर भन्न सकिँदैन, तर निम्न स्पष्ट थियो:

• सबै प्रमुख कर्मचारीहरूले यस घटनाको महत्त्व र अपरिहार्यता बुझे;
• अन्य सबै कर्मचारीहरूले प्रमुख कर्मचारीहरूलाई हेरे।

अवश्य पनि, हाम्रो उद्योगको विशिष्टताले हामीलाई धेरै मद्दत गर्‍यो - लेखा कार्यहरूको आउटसोर्सिंग। हाम्रा अधिकांश कर्मचारीहरूले रूसी कानूनमा निरन्तर परिवर्तनहरूसँग राम्रोसँग सामना गर्छन्। तदनुसार, अब अवलोकन गर्नै पर्ने दर्जनौं नयाँ नियमहरूको परिचय उनीहरूको लागि सामान्य कुरा थिएन।

हामीले हाम्रा सबै कर्मचारीहरूको लागि नयाँ अनिवार्य ISO 27001 प्रशिक्षण र परीक्षण तयार गरेका छौं। सबैले आज्ञाकारी रूपमा आफ्ना मनिटरहरूबाट पासवर्डसहितका टाँसिने नोटहरू हटाए र कागजातहरूले भरिएको डेस्कहरू खाली गरे। कुनै ठूलो असन्तुष्टि देखिएन - सामान्यतया, हामी हाम्रा कर्मचारीहरूसँग धेरै भाग्यशाली थियौं।

यसरी, हामीले सबैभन्दा पीडादायी चरण पार गरेका छौं - "डिप्रेसन" - हाम्रो व्यापार प्रक्रियाहरूमा परिवर्तनहरूसँग सम्बन्धित। यो कठिन र कठिन थियो, तर अन्तमा नतिजाले हाम्रो सबै जंगली अपेक्षाहरू पार गर्यो।

श्रृंखलाबाट अघिल्लो सामग्रीहरू पढ्नुहोस्:

ISO/IEC 5 प्रमाणीकरणको अपरिहार्यताको 27001 चरणहरू। अस्वीकार: ISO 27001: 2013 प्रमाणीकरणको बारेमा गलत धारणा, प्रमाणपत्र प्राप्त गर्ने सल्लाह।

ISO/IEC 5 प्रमाणीकरणको अपरिहार्यताको 27001 चरणहरू। रिस : कहाँबाट सुरु गर्ने ? प्रारम्भिक डाटा। खर्च। प्रदायक छनोट गर्दै।

ISO/IEC 5 प्रमाणीकरणको अपरिहार्यताको 27001 चरणहरू। बार्गेनिङ: कार्यान्वयन योजना तयार गर्ने, जोखिम मूल्याङ्कन गर्ने, नीतिहरू लेख्ने।

ISO/IEC 5 प्रमाणीकरणको अपरिहार्यताको 27001 चरणहरू। डिप्रेसन।

ISO/IEC 5 प्रमाणीकरणको अपरिहार्यताको 27001 चरणहरू। ग्रहण।

स्रोत: www.habr.com