ISO/IEC 5 प्रमाणीकरणको अपरिहार्यताको 27001 चरणहरू। निषेध

कम्पनीको लागि कुनै पनि रणनीतिक रूपमा महत्त्वपूर्ण निर्णय गर्दा, कर्मचारीहरू आधारभूत रक्षा संयन्त्रको माध्यमबाट जान्छन्, जुन परिवर्तनको प्रतिक्रियाको 5 चरणहरू भनेर चिनिन्छ (E. Kübler-Ross द्वारा)। एक प्रख्यात मनोवैज्ञानिकले एक पटक भावनात्मक प्रतिक्रियाहरू वर्णन गरे, भावनात्मक प्रतिक्रियाको 5 प्रमुख चरणहरू हाइलाइट गर्दै: अस्वीकार, रिस, सौदा, अवसाद र अन्तमा ग्रहण। हामीले ISO 27001 प्रमाणीकरणमा समर्पित लेखहरूको श्रृंखला तयार गरेका छौं, जहाँ हामी प्रत्येक चरणमा हेर्नेछौं। आज हामी तिनीहरूमध्ये पहिलो बारे कुरा गर्नेछौं - अस्वीकार।

"प्रदर्शनको लागि" ISO 27001 प्रमाणपत्र प्राप्त गर्नु एक धेरै संदिग्ध आनन्द हो, किनभने यसलाई लामो र महँगो तयारी चाहिन्छ। यसबाहेक, यसले देखाउँछ तथ्याङ्कहरू, यो मानक रूसी संघ मा अत्यन्त अलोकप्रिय छ: आज सम्म, केवल 70 कम्पनीहरु अनुपालन को लागी प्रमाणित गरिएको छ। एकै समयमा, यो विदेशमा सबैभन्दा लोकप्रिय मापदण्डहरू मध्ये एक हो, सूचना सुरक्षाको क्षेत्रमा व्यापारको बढ्दो मागहरू पूरा गर्दै।

हाम्रो कम्पनीले लेखा कार्यहरूको लागि आउटसोर्सिङ सेवाहरूको पूर्ण दायरा प्रदान गर्दछ: लेखा र कर लेखा, पेरोल र कर्मचारी प्रशासन। हामीले प्रमुख बजार स्थितिहरू मध्ये एक ओगटेका छौं, विशेष गरी रूसमा शाखाहरू भएका विदेशी कम्पनीहरूले उनीहरूको गोप्य जानकारीको साथ हामीलाई विश्वास गर्छन्। यो हाम्रा ग्राहकहरूको वित्तीय प्रक्रियाहरूमा मात्र लागू हुँदैन, तर हामीले दैनिक रूपमा काम गर्ने व्यक्तिगत डेटामा पनि लागू हुन्छ। यस सन्दर्भमा, सूचना सुरक्षाको मुद्दा हाम्रो प्राथमिकताहरू मध्ये एक हो।

अक्सर, रूसी विभाजन को सबै व्यापार प्रक्रियाहरु विदेशी कम्पनीहरु को मुख्य कार्यालयहरु द्वारा नियन्त्रित र घोषणा गरिन्छ, र यसैले उनीहरु आन्तरिक समूह-व्यापी मापदण्डहरु को पालना गर्नुपर्छ। हालसालै, हाम्रा केही प्रमुख ग्राहकहरूले उनीहरूलाई कडा बनाउने दिशामा उनीहरूको सुरक्षा नीतिहरू परिमार्जन गर्न थालेका छन्। निस्सन्देह, यो साइबर आक्रमण र सूचना सुरक्षा उल्लङ्घन घटनाहरु संग सम्बन्धित हानि को बढ्दो संख्या मा विश्वव्यापी प्रवृतिहरु को कारण हो। यदि यो सुरक्षा उपायहरु, नीतिहरु र कम्पनी को सूचना सुरक्षा को बृद्धि गर्न को लागी प्रक्रियाहरु लाई लागू गर्न को लागी आवश्यक छ, तपाईले ISO बिना गर्न सक्नुहुन्छ। /IEC 27001 प्रमाणीकरण, यसरी धेरै पैसा, समय र तंत्रिका बचत।

आज, कम्पनीमा अवस्थित सूचना सुरक्षाका लागि आवश्यकताहरू विदेशी ग्राहकहरूबाट टेन्डरहरूमा देखा पर्न थालेका छन्। केहि, आफ्नो प्रमाणिकरण सरल बनाउन र दृष्टिकोणलाई एकताबद्ध गर्न, अनिवार्य मूल्याङ्कन मापदण्ड सेट गर्नुहोस् - ISO/IEC 27001 प्रमाणीकरणको उपस्थिति।

हामीले देखेका कुराहरू यहाँ छन्: यस मानकमा प्रमाणित हाम्रा प्रमुख अन्तर्राष्ट्रिय ग्राहकहरू मध्ये एकले आफ्नो विश्वव्यापी सूचना सुरक्षा टोलीलाई उल्लेखनीय रूपमा बलियो बनाएको देखिन्छ। हामीले यसबारे कसरी थाहा पायौं? तिनीहरूले हाम्रो सूचना सुरक्षा व्यवस्थापन प्रणाली लेखा परीक्षण गर्ने निर्णय गरे, किनभने हामी तिनीहरूलाई लेखा सेवाहरू र कर्मचारी प्रशासन प्रदान गर्छौं - र, तदनुसार, हाम्रो सूचना प्रणालीहरूको सुरक्षा तिनीहरूको लागि महत्त्वपूर्ण छ। अघिल्लो लेखापरीक्षण 3 वर्ष पहिले भएको थियो - त्यो समय सबै धेरै पीडारहित भयो।

यस पटक, भारतीयहरूको एक मित्रवत टोलीले हामीमाथि आक्रमण गर्‍यो, हाम्रो सुरक्षा व्यवस्थापन प्रणालीमा धेरै दर्जन कमजोरीहरूलाई चलाखीपूर्वक पत्ता लगाउँदै। लेखापरीक्षण प्रक्रिया संसारको चक्र जस्तै थियो - यस्तो देखिन्छ कि सैद्धान्तिक रूपमा तिनीहरूले लेखापरीक्षणको भागको रूपमा कुनै पनि अन्तिम बिन्दुमा पुग्ने कुनै लक्ष्य थिएन। यो प्रश्नहरू, टिप्पणीहरू, हाम्रा टिप्पणीहरू र तिनीहरूको वास्तविकताको प्रमाण, सम्मेलन कलहरू र ग्राहकको IT सुरक्षा टोलीको उच्चारण पहिचान गर्ने प्रयासमा लामो दार्शनिक कुराकानीहरूको अनन्त स्ट्रिङ थियो। वैसे, लेखापरीक्षण आज सम्म तीव्रता को विभिन्न डिग्री संग जारी छ - समय संग, हामी यो संग सर्त मा आएका छौ। तसर्थ, प्रमाणीकरणको आवश्यकता आफैमा उत्पन्न भएको छ।

सायद हामी ISO 9001 सँग गर्न सक्छौं?

ISO मापदण्डहरू मध्ये कुनै पनि अनुसार प्रमाणीकरणको मुद्दामा कम वा कम जानकार सबैले बुझ्दछन् कि तिनीहरू प्रत्येकको आधार ISO 9001 "गुणवत्ता व्यवस्थापन प्रणाली" प्रमाणपत्र हो। यो सम्भवतः हाल ISO मापदण्डहरूको सम्पूर्ण लाइनमा सबैभन्दा लोकप्रिय प्रमाणपत्र हो। हामीसँग यो थिएन - र हामीले यसलाई प्राप्त नगर्ने निर्णय गर्यौं। यसका धेरै कारणहरू थिए:

• यो प्रमाणपत्र भएको कम्पनीको संदिग्ध आर्थिक दक्षता;
• हाम्रा आन्तरिक प्रक्रियाहरू, अधिकांश भागका लागि, पहिले नै यो मानकको नजिक थिए;
• यो प्रमाणपत्र प्राप्त गर्न थप समय र पैसा चाहिन्छ।

तदनुसार, हामीले "लाइटर" 27001 बाट सुरु नगरी तुरुन्तै ISO 9001 लागू गर्ने निर्णय गर्यौं।

वा हुनसक्छ यो अझै आवश्यक छैन?

अगाडि हेर्दै, हामी यसलाई प्राप्त गर्न उचित छ कि छैन भन्ने प्रश्नमा धेरै पटक फर्केका छौं। हामीले सबै पक्षबाट मुद्दाको अध्ययन गर्न थाल्यौं, किनभने हामीसँग कुनै विशेषज्ञता थिएन। र यहाँ गलत धारणाहरू छन् जसले हामीलाई यस मुद्दाको बारेमा फेरि सोच्न बाध्य बनायो।

गलत धारणा #1।
हामीले आशा गर्यौं कि मानकले हामीलाई विस्तृत चेकलिस्ट, नीतिहरूको सूची र अन्य वैधानिक कागजातहरू प्रदान गर्नेछ। वास्तविकतामा, यो पत्ता लाग्यो कि ISO/IEC 27001 सूचना सुरक्षा व्यवस्थापन प्रणाली आफैं र निर्माण भइरहेको प्रक्रियाको लागि आवश्यकताहरूको सेट हो। तिनीहरूको आधारमा, मानकको आवश्यकताहरू पूरा गर्न हाम्रो कम्पनीमा के लेख्ने / कार्यान्वयन गर्ने स्वतन्त्र रूपमा निर्णय गर्न आवश्यक थियो।

गलत धारणा #2।
हामी ईमानदारीपूर्वक विश्वास गर्यौं कि यो हाम्रो लागि एक कागजात अध्ययन गर्न र अपेक्षाकृत छोटो समयमा आफैले कार्यान्वयन गर्न पर्याप्त हुनेछ। वास्तविकतामा, कागजात पढ्दा, हामीले हाम्रो मानक "टाँसिएको" कति सम्बन्धित मापदण्डहरू महसुस गर्यौं, कति मापदण्डहरूसँग हामीले परिचित हुन आवश्यक छ (कम्तीमा सतही रूपमा)। केकमा "चेरी" सार्वजनिक डोमेनमा हालको मानक पाठहरूको अभाव थियो - तिनीहरू आधिकारिक आईएसओ वेबसाइटमा खरिद गर्नुपर्ने थियो।

गलत धारणा #3।
हामी विश्वस्त थियौं कि हामीले खुला स्रोतहरूमा प्रमाणीकरणको लागि तयारी गर्न आवश्यक पर्ने सबै कुराहरू भेट्टाउनेछौं। इन्टरनेटमा आईएसओ 27001 मा साँच्चै धेरै सामाग्रीहरू थिए, तर तिनीहरूको सट्टा विशेषमा कमी थियो। प्रमाणीकरणको लागि तयारीका लागि चरण-दर-चरण निर्देशनहरू, साथै यो मानक लागू गर्ने कम्पनीहरूको वास्तविक केसहरू व्यावहारिक रूपमा बुझ्न सजिलो थिएन।

गलत धारणा #4।
हामी नीतिहरू लेख्छौं, तर तिनीहरूले काम गर्दैनन्! खैर, यो सत्य हो, हाम्रो कम्पनीमा पहिले नै धेरै नियमहरू छन्, कसैले पनि अर्को 3 दर्जन नयाँ नीतिहरूको पालना गर्दैन। वास्तवमा, सौभाग्यवश, हाम्रा कर्मचारीहरूले जिम्मेवारीपूर्वक नयाँ नियमहरू मास्टर गर्ने कार्य लिए र सूचना सुरक्षा व्यवस्थापन प्रणाली कागजातहरूको ज्ञानको लागि परीक्षण सफलतापूर्वक पास गरे।

गलत धारणा #5।
त्यसबेला, हामीले हाम्रो प्रयासबाट के फाइदाहरू पाउनेछौं भनेर स्पष्ट रूपमा मूल्याङ्कन गर्न सकेनौं। त्यस समयमा, यस प्रमाणपत्रको लागि अनुरोधहरूको संख्या त्यति ठूलो थिएन, र प्रमाणीकरण हुनुभन्दा धेरै अघि नै हाम्रो प्रमुख र सबैभन्दा बढी माग गर्ने ग्राहक थियो। अनुभवले देखायो कि हामीले मानक बिना नै व्यवस्थापन गर्यौं।

केहि बिन्दुमा, हामीले महसुस गर्यौं कि हामीले ग्राहकको आवश्यकताहरूको कारणले गर्दा हामी अराजक रूपमा एक वा अर्को उभरिरहेको अंतर बन्द गर्दैछौं। प्रत्येक पटक हामी केही नयाँ नीति वा समाधानहरू लिएर आएका छौं। र हामी अन्ततः स्वतन्त्र रूपमा निष्कर्षमा पुग्यौं कि यो प्रक्रिया व्यवस्थित गर्न धेरै सजिलो हुनेछ, जसले हामीलाई भविष्यमा धेरै श्रम लागतहरू पनि बचत गर्नेछ। मानक यस कार्यलाई सरल बनाउने उद्देश्य थियो।

अब, दुई वर्ष पछि, हामी प्रमुख अन्तर्राष्ट्रिय ग्राहकहरूबाट यस मुद्दामा अनुरोध र चासोको संख्यामा बढ्दो प्रवृत्ति देख्छौं।

अन्तिम निर्णय।

अन्तमा, हामी भन्न चाहन्छौं कि हाम्रो उद्योगका नेताहरूले ISO/IEC 27001 प्रमाणीकरण प्राप्त गरेका छन्, जसले अन्य सबै प्रमुख प्रदायकहरूलाई (हामी सहित) यस मुद्दाको बारेमा सोच्न बाध्य पारेको छ। निस्सन्देह, कम्पनीको मार्केटिङ सामग्रीमा एक सुन्दर रेखा - वेबसाइटमा, सामाजिक सञ्जालहरूमा, विज्ञापन ब्रोशरहरूमा, आदि। - एक सुखद बोनस मान्न सकिन्छ, तर यसको लागि धेरै स्रोतहरू खर्च गर्न लायक छ? हामीले आफ्नै लागि निर्णय गर्यौं कि हाम्रो लागि यो एक सुन्दर रेखा मात्र होइन, र हामी यस परियोजनामा ​​संलग्न भयौं।

स्रोत: www.habr.com