आज की दुनिया अब ज्ञान की दुनिया है। क्या कंपनियों, संगठनों, राज्यों, लोगों और समाज में समान है कि वे सूचना युग में रहते हैं। ज्ञान एक अच्छी या सेवा के उत्पादन और उपभोग में प्रतिस्पर्धी और सफलता का एक अनिवार्य तत्व बन गया है। जैसे, यह अपरिहार्य है कि जानकारी सुरक्षित और विश्वसनीय है। कार्य की प्रकृति या प्रक्रिया के स्वरूप के बावजूद, सूचना सुरक्षा को सभी प्रक्रियाओं के प्रबंधन में एक प्रभावी, सतत और सफल तरीके से सुनिश्चित और प्रबंधित किया जाना चाहिए, भले ही तकनीक लिंक न हो। प्रक्रियाओं के प्रभावी प्रबंधन के लिए सूचना सुरक्षा प्रक्रियाओं के प्रभावी प्रबंधन की भी आवश्यकता होती है।
यदि किसी कंपनी के पास सुरक्षा रणनीतियों और उन्हें प्रबंधित करने के लिए प्रभावी तरीके नहीं हैं, तो यह अपरिहार्य है कि ये संगठन न केवल सुरक्षा के मामले में बल्कि परिचालन और अन्य सभी व्यावसायिक प्रक्रियाओं के प्रबंधन में गंभीर समस्याओं और सामग्री के नुकसान का अनुभव करेंगे।
व्यवसायिक जीवन में उपयोग की जाने वाली सभी प्रकार की जानकारी और व्यावसायिक उद्देश्यों के लिए साझा की जाने वाली चीजें मूल्यवान हैं और उन्हें संरक्षित किया जाना चाहिए। आज, कंप्यूटर वातावरण में सभी प्रकार की मूल्यवान जानकारी रखी जाती है।
प्रत्येक संगठन की निरंतरता सुनिश्चित करने में सूचना सुरक्षा का अत्यधिक महत्व है और इसका उद्देश्य संगठन की महत्वपूर्ण और गोपनीय जानकारी और अन्य सूचना संपत्तियों की सुरक्षा सुनिश्चित करना है, विशेष रूप से इलेक्ट्रॉनिक वातावरण में।
सूचना सुरक्षा समस्याएं और जोखिम न केवल बड़ी कंपनियों के लिए, बल्कि सरकारी, गैर-लाभकारी संगठनों, स्कूलों और समान संगठनों के लिए भी मौजूद हैं, यहां तक कि विभिन्न स्तरों पर भी। यह वास्तविकता हमारे देश में और दुनिया भर में हर दिन लगातार बढ़ते आयामों में अनुभव की जाती है।
संक्षेप में, सूचना सुरक्षा प्रबंधन अंतरराष्ट्रीय मानकों, प्रासंगिक राष्ट्रीय या अंतरराष्ट्रीय कानूनी विनियमों, वाणिज्यिक दायित्वों, माप विधियों, विकासशील प्रौद्योगिकियों और बदलते व्यावसायिक प्रक्रियाओं के साथ समानांतर में कभी-बदलते और तेजी से महत्वपूर्ण जोखिमों को कवर करने के लिए एक तरह से महत्व प्राप्त कर रहा है। एक होता जा रहा है।
सूचना सुरक्षा पर कई स्थानीय और विदेशी संगठनों द्वारा विभिन्न शोध किए जाते हैं। इनमें से, केवल हमारे देश को कवर करने के लिए 2005 में किए गए एक अध्ययन के परिणाम काफी हड़ताली हैं। इस इंटरनेट सुरक्षा सर्वेक्षण के परिणामों के अनुसार, जिसमें एक हजार से अधिक इंटरनेट उपयोगकर्ता और लगभग एक हजार कंपनियां शामिल हैं, यह देखा गया है कि 65 इंटरनेट एक्सेस के फ़ायरवॉल (प्रतिशत) का उपयोग नहीं करता है। 43 प्रतिशत वेब सर्वरों को अपनी जानकारी आसानी से बजाने, होम पेज बदलने, या उन्हें किसी अन्य पते पर ले जाने का जोखिम होता है। कंपनियों और इंटरनेट उपयोगकर्ताओं का केवल एक प्रतिशत स्पाइवेयर (स्पाईवेयर) 30 के खिलाफ संरक्षित है। DNS सर्वरों के 22 प्रतिशत में सुरक्षा कमजोरियां हैं और इंटरनेट पर कर्मचारियों के बैंकिंग पासवर्ड से ई-मेल आसानी से इंटरसेप्ट या चोरी हो सकते हैं। संक्षेप में, लगभग आधे उत्तरदाताओं को इंटरनेट पर भविष्य की सुरक्षा खतरों से खतरा है।
आईएसओ 27001 सूचना सुरक्षा प्रबंधन प्रणाली
यदि किसी भी कारण से, एक संगठन अपने पास मौजूद जानकारी को सुरक्षित करने में असमर्थ है, तो इससे पहले वह अपने ग्राहकों का शिकार बन सकता है, इसकी गतिविधियां धीमा हो सकती हैं, यहां तक कि बंद हो सकता है, संसाधन अनावश्यक रूप से समाप्त हो जाएंगे, कंपनी प्रतिष्ठा खो देती है और तीसरे पक्ष के लिए उत्तरदायी हो सकती है। इन सभी नकारात्मकताओं से बचने के लिए अंतर्राष्ट्रीय मानक संगठन द्वारा ISO / IEC 27001 सूचना सुरक्षा प्रबंधन प्रणाली मानक विकसित किया गया है। यह मानक संगठनों को उनकी बहुमूल्य जानकारी संपत्तियों की सुरक्षा और प्रबंधन में मदद करने के लिए बनाया गया है। अंतर्राष्ट्रीय मानक संगठन द्वारा अंतर्राष्ट्रीय इलेक्ट्रोटेक्निकल कमीशन के संयोजन में स्थापित संयुक्त तकनीकी समिति द्वारा तैयार किया गया यह मानक एकमात्र अंतर्राष्ट्रीय मानक है जो सूचना सुरक्षा और पर्याप्त और आनुपातिक सुरक्षा नियंत्रण सुनिश्चित करने के लिए बनाया गया है।
अपने व्यवसायों में ISO 27001 सूचना सुरक्षा प्रबंधन प्रणाली की स्थापना और प्रबंधन करने वाली कंपनियां सूचना बुनियादी ढांचे का निर्धारण करती हैं और सूचना परिसंपत्तियों के संभावित हमलों और संभावित खतरों का विश्लेषण करती हैं और तय करती हैं कि ऐसे खतरों के मामले में क्या किया जाना चाहिए।
आईएसओ एक्सएनयूएमएक्स मानक कंपनियों को यह जानकारी प्रदान करने का अवसर प्रदान करता है कि जानकारी को संरक्षित करने के लिए क्या जोखिम आवश्यक हैं, और इन जोखिमों को खत्म करने या कम करने के लिए उपाय करना चाहिए।
सूचना सुरक्षा जोखिम मापन का महत्व
सूचना सुरक्षा जोखिम माप और मूल्यांकन के लिए तरीकों की एक विस्तृत श्रृंखला है, और सॉफ्टवेयर की एक विस्तृत श्रृंखला है जो इन विधियों का उपयोग करती है। हालांकि, पहले से मापी और मूल्यांकन की जाने वाली प्रासंगिक सूचना परिसंपत्तियों का मूल्य निर्धारित किया जाना चाहिए। फिर, यह विश्लेषण किया जाना चाहिए कि कौन सी संभावना, कौन सी सुरक्षा कमजोरियां या कमजोरियां, और किस हद तक खतरों का इन सूचना परिसंपत्तियों पर बुरा प्रभाव पड़ेगा। इस प्रकार, जोखिम होने की स्थिति में सूचना परिसंपत्तियों के संभावित नुकसान की गणना की जाती है। सभी जोखिमों की गणना इस तरह से की जाती है कि स्थापना के लिए कौन से जोखिमों को प्राथमिकता दी जाती है, इन जोखिमों को किस हद तक कम किया जाना चाहिए, जोखिमों को वांछित स्तर पर लाने के लिए लागू किए जाने वाले उपाय, किए जाने वाले उपायों और किए जाने वाले नियंत्रणों का निर्धारण किया जाता है और इन समाधानों को लागू करने की लागतों का विश्लेषण किया जाता है। इन अध्ययनों के दौरान, किए जाने वाले उपाय और कार्यान्वित किए जाने वाले उपाय प्रभावी हैं और प्रभावी भी हैं।
सूचना संपत्ति, सभी वाणिज्यिक संपत्तियों के साथ, यह व्यवसायों के लिए एक मूल्यवान संसाधन है और इसे ठीक से संरक्षित करने की आवश्यकता है। यह सुनिश्चित करने के लिए सही प्रबंधन प्रणाली ISO 27001 एक सूचना सुरक्षा प्रबंधन प्रणाली है। कंपनी में ISO 27001 मानक के कार्यान्वयन के साथ, आवश्यक जोखिम माप और मूल्यांकन अध्ययन किए जाते हैं और सूचना परिसंपत्तियों की सुरक्षा एक प्रणाली बन गई है। आईएसओ एक्सएनयूएमएक्स सूचना सुरक्षा प्रबंधन प्रणाली के साथ सूचना संपत्ति, संभव वाणिज्यिक नुकसान को कम करने के लिए, वाणिज्यिक निवेश और अवसरों पर वापसी को अधिकतम करने और वाणिज्यिक निरंतरता सुनिश्चित करने के लिए खतरों और जोखिमों से सुरक्षित है।
आईएसओ एक्सएनयूएमएक्स मानक क्या हैं
ISO 27001 मानक स्टैंड-अलोन नहीं है। आईएसओ 27000 मानक वास्तव में कई मानक हैं। ये मानक इस प्रकार हैं:
- TS ISO / IEC 27001 सूचना प्रौद्योगिकी - सुरक्षा तकनीक - सूचना सुरक्षा प्रबंधन प्रणाली - आवश्यकताएँ (यह मानक सूचना सुरक्षा प्रबंधन प्रणाली की स्थापना, कार्यान्वयन और सुधार के लिए शर्तों को निर्दिष्ट करता है और प्रणाली का मूल मानक है)
- टीएस आईएसओ / आईईसी एक्सएनयूएमएक्स सूचना प्रौद्योगिकी - सुरक्षा तकनीक - सूचना सुरक्षा नियंत्रण के लिए अभ्यास संहिता (यह मानक उद्यम सूचना सुरक्षा मानकों और सूचना सुरक्षा प्रबंधन प्रथाओं के लिए एक दिशानिर्देश है, जिसमें संगठन की सूचना सुरक्षा जोखिम पर्यावरण पर विचार करते हुए चयन, कार्यान्वयन और नियंत्रण के प्रबंधन शामिल हैं)
- टीएस आईएसओ / आईईसी एक्सएनयूएमएक्स सूचना प्रौद्योगिकी - सुरक्षा तकनीक - सूचना सुरक्षा प्रबंधन प्रणाली एप्लीकेशन मैनुअल
- टीएस आईएसओ / आईईसी एक्सएनयूएमएक्स सूचना प्रौद्योगिकी - सुरक्षा तकनीक - सूचना सुरक्षा प्रबंधन - माप
- टीएस आईएसओ / आईईसी एक्सएनयूएमएक्स टेक्नोलॉजी ऑफ इंटरेस्ट - सुरक्षा तकनीक - सूचना सुरक्षा जोखिम प्रबंधन
- टीएस आईएसओ / आईईसी एक्सएनयूएमएक्स सूचना प्रौद्योगिकी - सुरक्षा तकनीकों - संगठनों के लिए आवश्यकताएँ ऑडिट और सूचना सुरक्षा प्रबंधन प्रणालियों का प्रमाणन
आईएसओ 27001 मानक किस संगठन के लिए
ISO 27001 मानक स्थापित करने के लिए, संगठनों को विशिष्ट सुविधाओं की आवश्यकता नहीं होती है। निजी क्षेत्र या सार्वजनिक क्षेत्र में काम करने वाला कोई भी संगठन, चाहे वे जिस भी क्षेत्र में काम करते हों और जिस स्थान पर मानक की आवश्यकताओं को पूरा करते हों, वे ISO 27001 प्रमाणपत्र का अनुरोध कर सकते हैं या चाहे जो भी हो, अपने उद्यमों में ISO 27001 सूचना सुरक्षा प्रबंधन प्रणाली स्थापित कर सकते हैं।
ISO 27001 मानक के आवेदन पर कोई प्रतिबंध नहीं है। महत्वपूर्ण बात यह है कि संगठन की सुरक्षा के लिए सूचनाओं की मौजूदगी है। हालांकि, जब हम एप्लिकेशन को देखते हैं, तो यह देखा जाता है कि बैंक और वित्तीय संस्थान, स्वास्थ्य संस्थान, फार्मास्युटिकल कंपनियां, मोटर वाहन और रासायनिक उद्योग में काम करने वाली कंपनियां, सरकारी संगठन और संस्थान जो सूचना प्रौद्योगिकी का उपयोग मुख्य रूप से इस प्रणाली का उपयोग करते हैं। गतिविधि की इन शाखाओं में सूचना का संरक्षण अधिक महत्वपूर्ण है।
क्यों सूचना सुरक्षा
सूचना सुरक्षा में तीन कारकों पर ध्यान देने की आवश्यकता है: यह सुनिश्चित करना कि जानकारी को गोपनीय रखा जाए, सूचना की अखंडता को बनाए रखा जाए और यह सुनिश्चित किया जाए कि जानकारी सुलभ हो।
संक्षेप में, जानकारी केवल उन लोगों के लिए सुलभ होनी चाहिए जो पहुंच प्रदान करते हैं। जानकारी तक पहुंचने के लिए अधिकृत व्यक्तियों को जब भी आवश्यकता हो, इस जानकारी तक पहुंच होनी चाहिए। प्रदान की गई जानकारी की अखंडता और सटीकता की गारंटी होनी चाहिए।
ISO 27001 सूचना सुरक्षा प्रबंधन प्रणाली के साथ, सूचना संपत्तियों की गोपनीयता संरक्षित है और जानकारी को अनधिकृत व्यक्तियों द्वारा दूषित या परिवर्तित होने से रोका जाता है। अनुरोधित समय पर केवल अधिकृत व्यक्तियों द्वारा सटीक और विश्वसनीय जानकारी प्रदान की जाती है। सूचना संपत्तियों की गिरावट, हानि या दुरुपयोग को विभिन्न नियंत्रण प्रणालियों द्वारा रोका या कम से कम किया जाता है। सूचना क्षति के कारण कंपनी की व्यावसायिक निरंतरता बाधित नहीं होती है। इसी समय, सभी कर्मचारियों ने सूचना सुरक्षा के बारे में जागरूकता पैदा की है।
ISO 27001 मानक के मुख्य उद्देश्य क्या हैं
अब तक किए गए स्पष्टीकरण के अनुरूप, आईएसओ एक्सएनयूएमएक्स मानक के मुख्य उद्देश्यों को निम्नानुसार समझाया जा सकता है:
- फर्म की संभावित सूचना सुरक्षा कमजोरियों को पहचानें
- सूचना संपत्तियों को खतरे में डालने वाले जोखिमों की व्यवस्थित निगरानी करना
- जोखिम पर सूचना परिसंपत्तियों की सुरक्षा सुनिश्चित करने के लिए नियंत्रणों की पहचान करें
- यह सुनिश्चित करना कि आवश्यक नियंत्रण किया जाता है
- स्वीकार्य स्तरों पर संभावित जोखिमों को रखना
- कंपनी द्वारा सूचना सुरक्षा नियंत्रण की निरंतरता सुनिश्चित करना
- इन सभी मुद्दों को महसूस करने के लिए प्रबंधन प्रक्रियाओं को निर्धारित करने और लागू करने के लिए
ISO 27001 मानक संगठनात्मक संरचना, नीतियों, गतिविधियों, जिम्मेदारियों, कार्यान्वयन निर्देशों, व्यवसाय प्रक्रियाओं और कंपनी के संसाधनों को कवर करता है जिसने इस प्रणाली को स्थापित किया है।
आज, जानकारी अधिक से अधिक कठिन हो गई है। जैसे-जैसे सूचना प्रौद्योगिकी विकसित होती है, सुरक्षा समस्याएं भी बढ़ती हैं। यह एक तथ्य है: समाज एक सूचना समाज बन गया है, लेकिन जोखिमों से बचाव का तरीका अनुभूति पर अधिक पैसा खर्च करना और सुरक्षा तकनीकों का अधिक उपयोग करना नहीं है। संगठनों और लोगों को सही समय पर और सही जगह पर सही सुरक्षा समाधान और रणनीतियों के बारे में जागरूक और उपयोग करने की आवश्यकता है।
एक प्रभावी और सफल सूचना सुरक्षा प्रबंधन के बारे में बात करने में सक्षम होने के लिए, विभिन्न प्रशिक्षण और संगठनों के माध्यम से कर्मचारियों के बीच जागरूकता बढ़ाने के लिए कर्मचारियों द्वारा वरिष्ठ प्रबंधन का स्वामित्व और समर्थन किया जाना आवश्यक है।
सूचना सुरक्षा अध्ययनों से अपेक्षित लाभ प्राप्त करने के लिए, कंपनी के लिए प्राथमिकता जोखिमों की पहचान करना, इन जोखिमों को कम करने के लिए उपयुक्त समाधान खोजना, इन समाधानों को सही ढंग से लागू करना, नियमित रूप से अनुप्रयोगों की निगरानी करना और आवश्यक सुधार कार्य करके निरंतर सुधार करना आवश्यक है। ISO 27001 सूचना सुरक्षा प्रबंधन प्रणाली मानक इस अपेक्षा को पूरा करने के लिए सही उपकरण है। हालांकि, सूचना सुरक्षा में सबसे महत्वपूर्ण सफलता कारक इच्छा, जागरूकता और ज्ञान है। सूचना सुरक्षा अध्ययन में प्राप्त होने वाली बात यह होनी चाहिए कि सूचना सुरक्षा समय के साथ एक कॉर्पोरेट संस्कृति बन जाती है। क्योंकि कंपनी के कर्मचारियों की बेहोशी, दुर्भावना या लापरवाही कंपनी के बाहर किए जाने वाले हमलों की तुलना में बहुत अधिक जोखिम भरा और हानिकारक है।
27001 सूचना सुरक्षा प्रबंधन प्रणाली एक ऐसी प्रणाली है जिसे कंपनी में जीवित रखा जाना चाहिए, परिवर्तनों के अनुकूल होना चाहिए और निरंतर सुधार के लिए खुला होना चाहिए।
हमारे संगठन TRCERT तकनीकी नियंत्रण और प्रमाणन इंक।, आईएसओ 27001 सूचना सुरक्षा प्रबंधन प्रणाली प्रमाणन अध्ययन, राष्ट्रीय और अंतर्राष्ट्रीय मान्यता संगठन प्राधिकरण पर आधारित हैं।