 යොමු පාඨය මත පදනම්ව, ISO 27001 සහතිකයේ අදියර තුනේ බුලටිත ලැයිස්තුවක් සහ එක් එක් අදියරෙහි ක්‍රියාකාරකම් සපයන්න.
SO/IEC 27001 යනු තොරතුරු ආරක්ෂාව කළමනාකරණය කිරීම සඳහා වන ජාත්‍යන්තර ප්‍රමිතියකි. ප්‍රමිතිය මුලින් ප්‍රකාශයට පත් කරන ලද්දේ ප්‍රමිතිකරණය සඳහා වූ ජාත්‍යන්තර සංවිධානය (ISO) සහ ජාත්‍යන්තර විද්‍යුත් තාක්‍ෂණ කොමිෂන් සභාව (IEC) විසින් 2005 දී, 2013 දී සංශෝධනය කරන ලද අතර, 2022 දී නැවත වරක් ප්‍රකාශයට පත් කරන ලදී. සම්මතයේ පිළිගත් ජාතික ප්‍රභේද ගණනාවක් ද ඇත. තොරතුරු ආරක්ෂණ කළමනාකරණ පද්ධතියක් (ISMS) ස්ථාපිත කිරීම, ක්‍රියාත්මක කිරීම, නඩත්තු කිරීම සහ අඛණ්ඩව වැඩිදියුණු කිරීම සඳහා අවශ්‍යතා විස්තර කරයි - එහි අරමුන වන්නේ ආයතන සතුව ඇති තොරතුරු වත්කම් වඩාත් ආරක්ෂිත කිරීමට උපකාර කිරීමයි. ප්‍රමිතියේ අවශ්‍යතා සපුරාලන ආයතනවලට විගණනයක් සාර්ථකව නිම කිරීමෙන් පසු පිළිගත් සහතික කිරීමේ ආයතනයක් විසින් සහතික කිරීමට තෝරා ගත හැකිය. ISO/IEC 27001 සහතික කිරීමේ ක්‍රියාවලියේ සඵලතාවය සහ සමස්ත ප්‍රමිතිය 2020 දී සිදු කරන ලද මහා පරිමාණ අධ්‍යයනයකින් ආමන්ත්‍රණය කර ඇත. සම්මත ක්‍රියා කරන ආකාරය බොහෝ ආයතනවලට තොරතුරු ආරක්ෂණ පාලන ගණනාවක් තිබේ. කෙසේ වෙතත්, තොරතුරු ආරක්ෂණ කළමනාකරණ පද්ධතියක් (ISMS) නොමැතිව, පාලනයන් යම්තාක් දුරට අසංවිධානාත්මක සහ විසංයෝජනය වීමට නැඹුරු වන අතර, බොහෝ විට විශේෂිත අවස්ථාවන්ට ලක්ෂ්‍ය විසඳුම් ලෙස හෝ හුදෙක් සම්මුතියක් ලෙස ක්‍රියාත්මක වේ. ක්‍රියාත්මක වන ආරක්‍ෂක පාලනයන් සාමාන්‍යයෙන් තොරතුරු තාක්‍ෂණයේ (IT) හෝ දත්ත ආරක්‍ෂාවෙහි යම් යම් අංශ ආමන්ත්‍රණය කරයි; තොරතුරු තාක්ෂණ නොවන තොරතුරු වත්කම් (ලේඛන කටයුතු සහ හිමිකාර දැනුම වැනි) සමස්තයක් ලෙස අඩුවෙන් ආරක්ෂා කර ඇත. එපමනක් නොව, ව්‍යාපාර අඛණ්ඩ සැලසුම් සහ භෞතික ආරක්‍ෂාව තොරතුරු තාක්‍ෂණයෙන් හෝ තොරතුරු ආරක්‍ෂාවෙන් තරමක් ස්වාධීනව කළමනාකරණය කළ හැකි අතර මානව සම්පත් පරිචයන් මගින් සංවිධානය පුරා තොරතුරු ආරක්‍ෂක භූමිකාවන් සහ වගකීම් නිර්වචනය කිරීමට සහ පැවරීමට අවශ්‍ය වීම ගැන සුළු සඳහනක් කළ හැකිය. ISO/IEC 27001 ට එම කළමනාකරණය අවශ්‍ය වේ: තර්ජන, අවදානම් සහ බලපෑම් සැලකිල්ලට ගනිමින් සංවිධානයේ තොරතුරු ආරක්ෂණ අවදානම් ක්‍රමානුකූලව පරීක්ෂා කරන්න; පිළිගත නොහැකි යැයි සැලකෙන අවදානම් විසඳීම සඳහා තොරතුරු ආරක්ෂණ පාලන සහ/හෝ වෙනත් ආකාරයේ අවදානම් ප්‍රතිකාර (අවදානම වළක්වා ගැනීම හෝ අවදානම් මාරු කිරීම වැනි) සුසංයෝගී සහ විස්තීර්ණ කට්ටලයක් සැලසුම් කිරීම සහ ක්‍රියාත්මක කිරීම; සහ තොරතුරු ආරක්ෂණ පාලනයන් අඛණ්ඩ පදනමක් මත සංවිධානයේ තොරතුරු ආරක්ෂණ අවශ්‍යතා සපුරාලීම සහතික කිරීම සඳහා පුළුල් කළමනාකරණ ක්‍රියාවලියක් අනුගමනය කරන්න. ISO/IEC 27001 වෙත සහතික කිරීමේ කොටසක් ලෙස පරීක්ෂා කරනු ලබන පාලනයන් සහතික කිරීමේ විගණක මත රඳා පවතී. ISMS හි විෂය පථය තුළ සංවිධානය විසින් සලකනු ලබන ඕනෑම පාලනයක් මෙයට ඇතුළත් විය හැකි අතර පාලනය ක්‍රියාත්මක කර ඇති බව සහ ඵලදායි ලෙස ක්‍රියාත්මක වන බව පරීක්‍ෂා කිරීමට අවශ්‍ය පරිදි විගණකවරයා විසින් තක්සේරු කර ඇති පරිදි මෙම පරීක්‍ෂණය ඕනෑම ගැඹුරකට හෝ ප්‍රමාණයකට විය හැකිය. කළමනාකරණය සහතික කිරීමේ අරමුණු සඳහා ISMS හි විෂය පථය තීරණය කරන අතර එය තනි ව්‍යාපාර ඒකකයකට හෝ ස්ථානයකට සීමා කළ හැකිය. ISO/IEC 27001 සහතිකය මඟින් අවශ්‍යයෙන්ම සංවිධානයේ ඉතිරි කොටස, විෂය පථයෙන් පිටත, තොරතුරු ආරක්ෂණ කළමනාකරණය සඳහා ප්‍රමාණවත් ප්‍රවේශයක් ඇති බව අදහස් නොවේ. ISO/IEC 27000 ප්‍රමිති පවුලේ අනෙකුත් ප්‍රමිතීන් ISMS සැලසුම් කිරීම, ක්‍රියාත්මක කිරීම සහ ක්‍රියාත්මක කිරීම පිළිබඳ ඇතැම් අංශ පිළිබඳ අමතර මාර්ගෝපදේශ සපයයි, උදාහරණයක් ලෙස තොරතුරු ආරක්ෂණ අවදානම් කළමනාකරණය (ISO/IEC 27005). ISO/IEC 27001 BS 7799 හි ඉතිහාසය BSI සමූහය විසින් 1995 දී ප්‍රකාශයට පත් කරන ලද ප්‍රමිතියකි. එය එක්සත් රාජධානියේ රජයේ වෙළඳ හා කර්මාන්ත දෙපාර්තමේන්තුව (DTI) විසින් ලියා ඇති අතර එය කොටස් කිහිපයකින් සමන්විත විය. තොරතුරු ආරක්ෂණ කළමනාකරණය සඳහා හොඳම භාවිතයන් අඩංගු පළමු කොටස 1998 දී සංශෝධනය කරන ලදී. ලෝක ව්‍යාප්ත ප්‍රමිති ආයතනවල දීර්ඝ සාකච්ඡාවකින් පසුව, එය අවසානයේ ISO විසින් ISO/IEC 17799, "තොරතුරු තාක්ෂණය - තොරතුරු ආරක්ෂණ කළමනාකරණය සඳහා වූ ප්‍රායෝගික සංග්‍රහය" ලෙස සම්මත කරන ලදී. 2000 දී. ISO/IEC 17799 පසුව 2005 ජුනි මාසයේදී සංශෝධනය කරන ලද අතර අවසානයේ 2007 ජූලි මාසයේදී ISO/IEC 27002 ලෙස ISO 27000 ප්‍රමිති මාලාවට ඇතුළත් කරන ලදී. BS7799 හි දෙවන කොටස BSI විසින් ප්‍රථම වරට ප්‍රකාශයට පත් කරන ලද්දේ 1999 කොටස ලෙසයි. 2, "තොරතුරු ආරක්ෂණ කළමනාකරණ පද්ධති - භාවිතය සඳහා මාර්ගෝපදේශය සහිත පිරිවිතර." BS 7799-2 BS 7799-2 හි හඳුනාගෙන ඇති තොරතුරු ආරක්ෂණ කළමනාකරණ ව්‍යුහය සහ පාලනයන් වෙත යොමු කරමින්, තොරතුරු ආරක්ෂණ කළමනාකරණ පද්ධතියක් (ISMS) ක්‍රියාත්මක කරන්නේ කෙසේද යන්න පිළිබඳව අවධානය යොමු කරන ලදී. මෙය පසුව ISO/IEC 27001:2005 බවට පත් විය. BS 7799 කොටස 2 ISO විසින් ISO/IEC 27001 ලෙස 2005 නොවැම්බර් මාසයේදී සම්මත කරන ලදී. BS 7799 කොටස 3 අවදානම් විශ්ලේෂණය සහ කළමනාකරණය ආවරණය කරමින් 2005 දී ප්‍රකාශයට පත් කරන ලදී. එය ISO/IEC 27001:2005 සමඟ සමපාත වේ. ISO/IEC 27001 සම්බන්ධව ඕනෑම BS ප්‍රමිතීන් සඳහා ඉතා සුළු යොමු කිරීමක් හෝ භාවිතයක් සිදු කෙරේ. සහතික කිරීම ලොව පුරා පිළිගත් රෙජිස්ට්‍රාර්වරුන් ගණනාවක් විසින් ISO/IEC 27001 ප්‍රමිතියට අනුකූලව ISMS සහතික කළ හැක. ISO/IEC 27001 (උදා: JIS Q 27001, ජපන් අනුවාදය) ප්‍රතීතනය ලත් සහතික කිරීමේ ආයතනයකින් ඕනෑම පිළිගත් ජාතික ප්‍රභේදයකට එරෙහිව සහතික කිරීම ISO/IEC 27001 ට එරෙහිවම සහතික කිරීමට ක්‍රියාකාරීව සමාන වේ. සමහර රටවල, නිශ්චිත ප්‍රමිතීන්ට අනුකූලව කළමනාකරණ පද්ධති සත්‍යාපනය කරන ආයතන "සහතික කිරීමේ ආයතන" ලෙස හඳුන්වනු ලබන අතර, අනෙක් ඒවා පොදුවේ "ලියාපදිංච් කිරීමේ ආයතන", "තක්සේරු කිරීමේ සහ ලියාපදිංචි ආයතන", "සහතික කිරීමේ/ ලියාපදිංචි ආයතන" ලෙස හැඳින්වේ. සහ සමහර විට "රෙජිස්ට්රාර්". ISO/IEC 27001 සහතිකය, අනෙකුත් ISO කළමනාකරණ පද්ධති සහතික කිරීම් මෙන්, සාමාන්‍යයෙන් ISO/IEC 17021 සහ ISO/IEC 27006 ප්‍රමිතීන් මගින් අර්ථ දක්වා ඇති අදියර තුනක බාහිර විගණන ක්‍රියාවලියක් ඇතුළත් වේ: අදියර 1 යනු ISMS හි මූලික, අවිධිමත් සමාලෝචනයකි. උදාහරණයක් ලෙස සංවිධානයේ තොරතුරු ආරක්ෂණ ප්‍රතිපත්තිය, අදාළ ප්‍රකාශය (SoA) සහ අවදානම් ප්‍රතිකාර සැලැස්ම (RTP) වැනි ප්‍රධාන ලේඛනවල පැවැත්ම සහ සම්පූර්ණත්වය සඳහා චෙක්පත් තිබේ. මෙම අදියර විගණකවරුන් සංවිධානය සමඟ හුරුපුරුදු කිරීමට සහ අනෙක් අතට. අදියර 2 යනු වඩාත් සවිස්තරාත්මක සහ විධිමත් අනුකූලතා විගණනයකි, ISO/IEC 27001 හි නිශ්චිතව දක්වා ඇති අවශ්‍යතාවලට එරෙහිව ISMS ස්වාධීනව පරීක්ෂා කරයි. කළමනාකරණ පද්ධතිය නිසි ලෙස සැලසුම් කර ක්‍රියාත්මක කර ඇති බවට සහ ඇත්ත වශයෙන්ම ක්‍රියාත්මක වන බව තහවුරු කිරීමට විගණකවරුන් සාක්ෂි සොයනු ඇත ( උදාහරණයක් ලෙස ISMS අධීක්‍ෂණය කිරීම සඳහා ආරක්‍ෂක කමිටුවක් හෝ ඒ හා සමාන කළමනාකරණ ආයතනයක් නිතිපතා රැස්වන බව තහවුරු කිරීමෙන්). සහතික කිරීමේ විගණන සාමාන්‍යයෙන් ISO/IEC 27001 ප්‍රධාන විගණකවරුන් විසින් පවත්වනු ලැබේ. මෙම අදියර පසුකිරීමේ ප්‍රතිඵලයක් ලෙස ISMS ISO/IEC 27001 සමඟ අනුකූලව සහතික කර ඇත. සංවිධානය ප්‍රමිතියට අනුකූලව පවතින බව තහවුරු කිරීම සඳහා පසු විපරම් සමාලෝචන හෝ විගණන සිදු කිරීම සිදු වේ. සහතික කිරීමේ නඩත්තුව සඳහා ISMS නිශ්චිතව සහ අපේක්ෂිත පරිදි ක්‍රියාත්මක වන බව තහවුරු කිරීමට වරින් වර නැවත ඇගයීම් විගණන අවශ්‍ය වේ. මේවා අවම වශයෙන් වාර්ෂිකව සිදු විය යුතු නමුත් (කළමනාකාරිත්වය සමඟ එකඟතාවයෙන්) බොහෝ විට නිතර සිදු කරනු ලැබේ, විශේෂයෙන් ISMS තවමත් කල් පිරෙන අතරතුර.
පහත දැක්වෙන්නේ ISO 27001 සහතික කිරීමේ අදියර තුනයි: 1. අදියර 1: තොරතුරු ආරක්ෂණ කළමනාකරණ පද්ධතිය පිළිබඳ මූලික, අවිධිමත් සමාලෝචනයක්. ක්‍රියාකාරකම් අතර ප්‍රාථමික ලියකියවිලි වල පැවැත්ම සහ සම්පූර්ණත්වය පරීක්ෂා කිරීම ඇතුළත් වේ. 2. අදියර 2: ISO 27001 හි නිශ්චිතව දක්වා ඇති අවශ්‍යතා ප්‍රමාණවත් ලෙස ක්‍රියාත්මක කිරීම වලංගු කිරීම සඳහා තෙවන පාර්ශවයක් විසින් සිදු කරන ලද සවිස්තරාත්මක සහ විධිමත් විගණනයක් 3. සිදුවෙමින් පවතී: ISO 27001 හි අවශ්‍යතා සමඟ අඛණ්ඩව අනුකූල වීම තහවුරු කිරීම සඳහා පසු විපරම් සමාලෝචන සහ විගණන.