ISO/IEC 27005
আইএসও/আইইসি 27005 "তথ্য প্রযুক্তি-সুরক্ষা কৌশল-তথ্য সুরক্ষা ঝুঁকি ব্যবস্থাপনা" একটি আন্তর্জাতিক মান যা ইন্টারন্যাশনাল অর্গানাইজেশন ফর স্ট্যান্ডার্ডাইজেশন (আইএসও) এবং ইন্টারন্যাশনাল ইলেক্ট্রোটেকনিক্যাল কমিশন (আইইসি) দ্বারা প্রকাশিত তথ্যের ঝুঁকি পরিচালনার জন্য ভাল অনুশীলন নির্দেশিকা প্রদান করে। এটি আইএসও/আইইসি 27000-সিরিজের মানগুলির একটি মূল অংশ, যা সাধারণত আইএসও27কে নামে পরিচিত। এই মানটি পদ্ধতিগতভাবে তথ্য সুরক্ষা ঝুঁকিগুলি সনাক্তকরণ, মূল্যায়ন, মূল্যায়ন এবং চিকিত্সা করার বিষয়ে পরামর্শ দেয়-একটি আইএসও27কে ইনফরমেশন সিকিউরিটি ম্যানেজমেন্ট সিস্টেমের (আইএসএমএস) একেবারে কেন্দ্রে থাকা প্রক্রিয়া। এর লক্ষ্য হল সংস্থাগুলি যাতে তাদের তথ্য সুরক্ষা ঝুঁকি অনুসারে যুক্তিসঙ্গতভাবে তাদের তথ্য সুরক্ষা নিয়ন্ত্রণ এবং অন্যান্য ব্যবস্থা ডিজাইন, বাস্তবায়ন, পরিচালনা, পর্যবেক্ষণ এবং বজায় রাখে তা নিশ্চিত করা। আইএসও/আইইসি 27005-এর বর্তমান তৃতীয় সংস্করণটি 2018 সালে প্রকাশিত হয়েছিল। একটি চতুর্থ সংস্করণের খসড়া তৈরি করা হচ্ছে এবং 2022 সালের শেষের দিকে এটি প্রকাশিত হওয়ার কথা। আইএসও/আইইসি 27005 বিস্তারিতভাবে নির্দিষ্ট ঝুঁকি ব্যবস্থাপনার পদ্ধতি নির্দিষ্ট বা সুপারিশ করে না। পরিবর্তে এটি আরও সাধারণ/সামগ্রিক পরিভাষায় প্রক্রিয়াটি নিয়ে আলোচনা করে, আইএসও 31000 দ্বারা বর্ণিত সাধারণ ঝুঁকি ব্যবস্থাপনা পদ্ধতির উপর ভিত্তি করে। ঝুঁকিগুলি চিহ্নিত করুন এবং মূল্যায়ন করুন; ঝুঁকিগুলি সম্পর্কে কী করতে হবে তা স্থির করুন (সেগুলির 'চিকিৎসা' কীভাবে করতে হবে). এবং এটি করুন; ঝুঁকি, ঝুঁকির চিকিৎসা ইত্যাদি পর্যবেক্ষণ করুন, উল্লেখযোগ্য পরিবর্তন, সমস্যা/উদ্বেগ বা উন্নতির সুযোগগুলি যথাযথভাবে চিহ্নিত করুন এবং সাড়া দিন; অংশীদারদের (প্রধানত সংস্থার পরিচালনা) পুরো প্রক্রিয়া জুড়ে অবহিত রাখুন। সেই বিস্তৃত কাঠামোর মধ্যে, সংস্থাগুলিকে তাদের নির্দিষ্ট প্রয়োজন অনুসারে যে কোনও তথ্য ঝুঁকি ব্যবস্থাপনার পদ্ধতি, কৌশল এবং/অথবা পন্থা নির্বাচন/বিকাশ এবং ব্যবহার করতে উৎসাহিত করা হয়-উদাহরণস্বরূপঃ বিভিন্ন ঘটনা, পরিস্থিতি বা পরিস্থিতির সম্ভাবনা চিহ্নিত করা যা গোপনীয়তা, অখণ্ডতা এবং/অথবা তথ্যের উপলব্ধতার সাথে আপস বা ক্ষতি করতে পারে; আইটি সিস্টেম এবং নেটওয়ার্কগুলির সাথে জড়িত ঘটনাগুলি থেকে উদ্ভূত সম্ভাব্য দুর্বলতা এবং ব্যবসায়িক প্রভাবগুলির মূল্যায়ন করা, ম্যানুয়াল তথ্য প্রক্রিয়াকরণ, কাগজে তথ্য বা শব্দ এবং ছবিতে প্রকাশিত, এবং জ্ঞান, বৌদ্ধিক সম্পত্তি ইত্যাদির মতো অদম্য তথ্য। সম্পূর্ণরূপে সংস্থার নিয়ন্ত্রণের মধ্যে থাকা, সম্পূর্ণরূপে তার নিয়ন্ত্রণের বাইরে বা আংশিকভাবে নিয়ন্ত্রণযোগ্য বিষয়গুলি বিবেচনা করা; সংস্থার কাছে বিভিন্ন ধরনের, প্রকার বা বিভাগের তথ্যের পরম বা আপেক্ষিক মূল্য নির্ধারণ করা, বিশেষত গুরুত্বপূর্ণ ব্যবসায়িক উদ্দেশ্য অর্জনের জন্য গুরুত্বপূর্ণ তথ্য এবং তথ্য প্রক্রিয়াকরণে; বিভিন্ন ধরনের ঘটনার সম্ভাবনা/সম্ভাবনা এবং সাংগঠনিক প্রভাবগুলি অনুমান/নির্ধারণ করতে পরিমাণগত বা গুণগত/তুলনামূলক পদ্ধতি ব্যবহার করে তথ্যের আকার বাড়ানোর ঝুঁকি; অন্যান্য ধরণের সম্পর্কিত তথ্যের ঝুঁকি বিবেচনা এবং পরিচালনা করা (যেমন। কৌশলগত, বাণিজ্যিক/বাজার, পণ্য, তথ্যপ্রযুক্তি, স্বাস্থ্য ও নিরাপত্তা, এবং আইনি/নিয়ন্ত্রক সম্মতি ঝুঁকি); সংস্থার দ্বারা ইতিমধ্যে ব্যবহৃত ঝুঁকি ব্যবস্থাপনার পদ্ধতি এবং পদ্ধতির প্রয়োগ/অভিযোজন, ভাল অনুশীলন গ্রহণ, বা নতুন/হাইব্রিড পদ্ধতির বিকাশ; ঝুঁকি এড়াতে হবে কিনা তা সিদ্ধান্ত নেওয়া (সাধারণত ঝুঁকিপূর্ণ ক্রিয়াকলাপ শুরু না করে বা প্রত্যাহার না করে), সেগুলি তৃতীয় পক্ষের সাথে ভাগ করুন (যেমন। সাইবার-বীমা বা চুক্তিগত ধারাগুলির মাধ্যমে), তথ্য সুরক্ষা নিয়ন্ত্রণ ব্যবহার করে সেগুলিকে প্রশমিত করা, বা ধরে রাখা/গ্রহণ করা, ঝুঁকির আকাঙ্ক্ষা/সহনশীলতার মানদণ্ড প্রয়োগ করা; ঝুঁকির তাৎপর্য বা প্রকৃতি এবং বিবেচনাধীন ঝুঁকির চিকিৎসার ব্যয়-কার্যকারিতা বা অন্যান্য প্রভাব অনুসারে অগ্রাধিকার দেওয়া, সেই অনুযায়ী তাদের চিকিত্সা করার পরিকল্পনা করা, সম্পদ বরাদ্দ করা ইত্যাদি। বিভিন্ন উপায়ে তাদের সম্ভাবনা এবং/অথবা প্রভাব হ্রাস করে তথ্যের ঝুঁকি হ্রাস করা যেমন। স্বয়ংক্রিয়, ম্যানুয়াল, শারীরিক বা প্রশাসনিক নিয়ন্ত্রণ নির্বাচন করা যা প্রতিরোধমূলক, গোয়েন্দা বা সংশোধনমূলক; ঝুঁকি ব্যবস্থাপনা প্রক্রিয়া সহ অনিশ্চয়তা মোকাবেলা করা (যেমন। অপ্রত্যাশিত ঘটনা, দুর্ভাগ্যজনক কাকতালীয় ঘটনা, বিচারের ত্রুটি এবং নিয়ন্ত্রণের আংশিক বা সম্পূর্ণ ব্যর্থতা); পরীক্ষা, মূল্যায়ন, মূল্যায়ন, পর্যালোচনা, নিরীক্ষা ইত্যাদির মাধ্যমে আশ্বাস অর্জন করা। যাতে নির্বাচিত ঝুঁকির চিকিৎসা উপযুক্ত হয় এবং অনুশীলনে যথেষ্ট কার্যকর থাকে; বিভিন্ন আইন, প্রবিধান, চুক্তি, চুক্তি, মান, কোড ইত্যাদির মাধ্যমে সংস্থার উপর আরোপিত বা স্বেচ্ছায় গৃহীত প্রাসঙ্গিক প্রয়োজনীয়তা বা বাধ্যবাধকতাগুলি মেনে চলা। (যেমন। গোপনীয়তা আইন, পি. সি. আই-ডি. এস. এস, নৈতিক ও পরিবেশগত বিবেচনা); অভিজ্ঞতা থেকে শেখা (সংস্থার দ্বারা অভিজ্ঞ ঘটনা এবং কাছাকাছি-মিস এবং তুলনামূলক সংস্থাগুলিকে প্রভাবিত করে এমন ঘটনা সহ) এবং ক্রমাগত উন্নতি করা। উদ্দেশ্য আই. এস. ও/আই. ই. সি 27000-সিরিজের মান সব ধরনের এবং আকারের সংগঠনের জন্য প্রযোজ্য-একটি অত্যন্ত বৈচিত্র্যময় গোষ্ঠী, তাই তাদের সকলের জন্য নির্দিষ্ট পন্থা, পদ্ধতি, ঝুঁকি বা নিয়ন্ত্রণ বাধ্যতামূলক করা উপযুক্ত হবে না। পরিবর্তে, মানগুলি একটি পরিচালন ব্যবস্থার ছত্রছায়ায় সাধারণ নির্দেশনা প্রদান করে। পরিচালকদের এমন কাঠামোগত পদ্ধতি অনুসরণ করতে উৎসাহিত করা হয় যা তাদের সংস্থার নির্দিষ্ট পরিস্থিতির জন্য প্রাসঙ্গিক এবং উপযুক্ত, যুক্তিসঙ্গতভাবে এবং পদ্ধতিগতভাবে তাদের তথ্যের ঝুঁকিগুলি মোকাবেলা করে। ব্যবস্থাপনার নিয়ন্ত্রণে তথ্যের ঝুঁকিগুলি চিহ্নিত করা এবং আনা নিশ্চিত করতে সহায়তা করে যে সেগুলি যথাযথভাবে আচরণ করা হয়, এমনভাবে যা পরিবর্তনের প্রতি সাড়া দেয় এবং সময়ের সাথে সাথে আইএসএমএস-এর বৃহত্তর পরিপক্কতা এবং কার্যকারিতার দিকে পরিচালিত করে উন্নতির সুযোগগুলির সুবিধা নেয়। স্ট্যান্ডার্ড আইএসও/আইইসি 27005:2018-এর কাঠামো এবং বিষয়বস্তুতে অন্যান্য আইএসও/আইইসি মানগুলির মতো প্রচলিত কাঠামো রয়েছে, যার নিম্নলিখিত প্রধান বিভাগগুলি রয়েছেঃ তথ্য সুরক্ষা ঝুঁকি ব্যবস্থাপনা প্রক্রিয়ার সংক্ষিপ্ত বিবরণ তথ্য সুরক্ষা ঝুঁকি মূল্যায়ন তথ্য সুরক্ষা ঝুঁকি চিকিৎসা তথ্য সুরক্ষা ঝুঁকি গ্রহণযোগ্যতা তথ্য সুরক্ষা ঝুঁকি যোগাযোগ এবং পরামর্শ <লি> তথ্য সুরক্ষা ঝুঁকি পর্যবেক্ষণ এবং পর্যালোচনা এবং ছয়টি পরিশিষ্টঃ <লি> তথ্য সুরক্ষা ঝুঁকি পরিচালন প্রক্রিয়ার সুযোগ এবং সীমানা নির্ধারণ সম্পদের সনাক্তকরণ এবং মূল্যায়ন এবং প্রভাব মূল্যায়ন <লি> দুর্বলতা মূল্যায়নের জন্য সাধারণ হুমকি এবং পদ্ধতির উদাহরণ <লি> তথ্য সুরক্ষা ঝুঁকি মূল্যায়ন পদ্ধতি <লি