ISO/IEC 27005
આઇએસઓ/આઇઇસી 27005 "ઇન્ફોર્મેશન ટેકનોલોજી-સુરક્ષા તકનીકો-ઇન્ફોર્મેશન સિક્યુરિટી રિસ્ક મેનેજમેન્ટ" એ ઇન્ટરનેશનલ ઓર્ગેનાઇઝેશન ફોર સ્ટાન્ડર્ડાઇઝેશન (આઇએસઓ) અને ઇન્ટરનેશનલ ઇલેક્ટ્રોટેક્નિકલ કમિશન (આઇઇસી) દ્વારા પ્રકાશિત આંતરરાષ્ટ્રીય ધોરણ છે જે માહિતીના જોખમોનું સંચાલન કરવા માટે સારી પ્રેક્ટિસ માર્ગદર્શન પૂરું પાડે છે. તે ISO/IEC 27000-શ્રેણીના ધોરણોનો મુખ્ય ભાગ છે, જે સામાન્ય રીતે ISO27k તરીકે ઓળખાય છે. આ ધોરણ માહિતી સુરક્ષા જોખમોને વ્યવસ્થિત રીતે ઓળખવા, મૂલ્યાંકન કરવા, મૂલ્યાંકન કરવા અને સારવાર કરવા માટે સલાહ આપે છે-જે પ્રક્રિયાઓ ISO27k માહિતી સુરક્ષા વ્યવસ્થાપન પ્રણાલી (ISMS) ના કેન્દ્રમાં છે. તેનો ઉદ્દેશ એ સુનિશ્ચિત કરવાનો છે કે સંસ્થાઓ તેમના માહિતી સુરક્ષા જોખમો અનુસાર તેમના માહિતી સુરક્ષા નિયંત્રણો અને અન્ય વ્યવસ્થાઓને તર્કસંગત રીતે ડિઝાઇન, અમલ, સંચાલન, દેખરેખ અને જાળવણી કરે. આઇએસઓ/આઇઇસી 27005ની હાલની ત્રીજી આવૃત્તિ 2018માં પ્રકાશિત થઈ હતી. ચોથી આવૃત્તિનો મુસદ્દો તૈયાર કરવામાં આવી રહ્યો છે અને તે 2022ના અંતમાં પ્રકાશિત થવાની છે. ISO/IEC 27005 ચોક્કસ જોખમ વ્યવસ્થાપન પદ્ધતિઓનો વિગતવાર ઉલ્લેખ અથવા ભલામણ કરતું નથી. તેના બદલે તે પ્રક્રિયાની વધુ સામાન્ય/એકંદર શરતોમાં ચર્ચા કરે છે, જે ISO 31000 એટલે કે સામાન્ય જોખમ વ્યવસ્થાપન પદ્ધતિ દ્વારા વર્ણવવામાં આવે છે. જોખમોને ઓળખો અને તેનું મૂલ્યાંકન કરો; જોખમો વિશે શું કરવું તે નક્કી કરો (તેમની 'સારવાર' કેવી રીતે કરવી). અને તે કરો; જોખમો, જોખમની સારવાર વગેરે પર દેખરેખ રાખો, નોંધપાત્ર ફેરફારો, મુદ્દાઓ/ચિંતાઓ અથવા સુધારણા માટેની તકોને યોગ્ય રીતે ઓળખો અને પ્રતિસાદ આપો; હિતધારકોને (મુખ્યત્વે સંસ્થાના વ્યવસ્થાપન) સમગ્ર પ્રક્રિયા દરમિયાન માહિતગાર રાખો. તે વ્યાપક માળખામાં, સંસ્થાઓને તેમની ચોક્કસ જરૂરિયાતોને અનુરૂપ જે પણ માહિતી જોખમ વ્યવસ્થાપન પદ્ધતિઓ, વ્યૂહરચનાઓ અને/અથવા અભિગમો પસંદ કરવા/વિકસાવવા અને તેનો ઉપયોગ કરવા માટે પ્રોત્સાહિત કરવામાં આવે છે-ઉદાહરણ તરીકેઃ વિવિધ ઘટનાઓ, પરિસ્થિતિઓ અથવા દૃશ્યોની સંભાવનાને ઓળખવી કે જે ગોપનીયતા, અખંડિતતા અને/અથવા માહિતીની ઉપલબ્ધતાને નુકસાન પહોંચાડે છે અથવા નુકસાન પહોંચાડે છે; જોખમોનું મૂલ્યાંકન કરવું, આઇટી સિસ્ટમ્સ અને નેટવર્ક્સ સાથે સંકળાયેલી ઘટનાઓથી સંભવિત રીતે ઉદ્ભવતા જોખમો અને વ્યવસાયિક અસરો, વત્તા જાતે માહિતી પ્રક્રિયા, કાગળ પરની માહિતી અથવા શબ્દો અને ચિત્રોમાં વ્યક્ત કરેલી માહિતી, વત્તા અમૂર્ત માહિતી જેવી કે જ્ઞાન, બૌદ્ધિક સંપત્તિ વગેરે. જે પરિબળો સંપૂર્ણપણે સંસ્થાના નિયંત્રણમાં હોય, સંપૂર્ણપણે તેના નિયંત્રણની બહાર હોય અથવા આંશિક રીતે નિયંત્રિત કરી શકાય તેવા હોય તેને ધ્યાનમાં લેવું; સંસ્થાને વિવિધ સ્વરૂપો, પ્રકારો અથવા માહિતીના વર્ગોના સંપૂર્ણ અથવા સંબંધિત મૂલ્યો નક્કી કરવા, ખાસ કરીને માહિતી અને માહિતીની પ્રક્રિયામાં જે મહત્વપૂર્ણ વ્યવસાયિક ઉદ્દેશોની સિદ્ધિ માટે મહત્વપૂર્ણ છે; વિવિધ પ્રકારની ઘટનાઓની સંભાવના/સંભાવના અને જો તે થવાની હોય તો સંસ્થાકીય અસરોનો અંદાજ/નિર્ધારણ કરવા માટે માત્રાત્મક અથવા ગુણાત્મક/તુલનાત્મક પદ્ધતિઓનો ઉપયોગ કરીને માહિતીના જોખમોનું કદ વધારવું; અન્ય પ્રકારના સંબંધમાં માહિતીના જોખમોને ધ્યાનમાં લેવા અને તેનું સંચાલન કરવું (દા. ત. વ્યૂહાત્મક, વ્યાપારી/બજાર, ઉત્પાદન, આઇટી, આરોગ્ય અને સલામતી, અને કાનૂની/નિયમનકારી પાલન જોખમો); સંસ્થા દ્વારા પહેલેથી ઉપયોગમાં લેવાતી જોખમ વ્યવસ્થાપન પદ્ધતિઓ અને અભિગમોને લાગુ કરવા/સ્વીકારવા, સારી પદ્ધતિઓ અપનાવવી, અથવા નવા/વર્ણસંકર અભિગમો વિકસાવવા; જોખમો ટાળવા કે નહીં તે નક્કી કરવું (સામાન્ય રીતે જોખમી પ્રવૃત્તિઓ શરૂ કરીને અથવા બહાર ન ખેંચીને), તેમને તૃતીય પક્ષો સાથે શેર કરો (દા. ત. સાયબર-વીમા અથવા કરારની કલમો દ્વારા), માહિતી સુરક્ષા નિયંત્રણોનો ઉપયોગ કરીને તેમને ઘટાડવું, અથવા જોખમ લેવાની ક્ષમતા/સહિષ્ણુતાના માપદંડ લાગુ કરીને તેમને જાળવી રાખવું/સ્વીકારવું; જોખમોના મહત્વ અથવા પ્રકૃતિ અનુસાર પ્રાથમિકતા આપવી, અને વિચારણા હેઠળની જોખમની સારવારની ખર્ચ-અસરકારકતા અથવા અન્ય અસરો, તે મુજબ તેમની સારવાર કરવાનું આયોજન કરવું, સંસાધનોની ફાળવણી કરવી વગેરે. માહિતીના જોખમોને તેમની સંભાવના અને/અથવા અસરને વિવિધ રીતે ઘટાડીને ઘટાડવી, દા. ત. સ્વયંચાલિત, મેન્યુઅલ, ભૌતિક અથવા વહીવટી નિયંત્રણો પસંદ કરવા કે જે નિવારક, ડિટેક્ટીવ અથવા સુધારાત્મક હોય; જોખમ વ્યવસ્થાપન પ્રક્રિયાની અંદરની અનિશ્ચિતતાઓ સાથે વ્યવહાર કરવો (દા. ત. અનપેક્ષિત ઘટનાઓ, કમનસીબ સંયોગો, ચુકાદાની ભૂલો અને નિયંત્રણની આંશિક અથવા સંપૂર્ણ નિષ્ફળતા) ની ઘટના; પરીક્ષણ, મૂલ્યાંકન, મૂલ્યાંકન, સમીક્ષાઓ, ઓડિટ વગેરે દ્વારા ખાતરી મેળવવી. કે પસંદ કરેલી જોખમની સારવાર યોગ્ય છે અને વ્યવહારમાં પૂરતી અસરકારક રહે છે; વિવિધ કાયદાઓ, નિયમો, કરારો, કરારો, ધોરણો, સંહિતાઓ વગેરે દ્વારા સંસ્થા પર લાદવામાં આવેલી અથવા સ્વેચ્છાએ સ્વીકારવામાં આવેલી સંબંધિત જરૂરિયાતો અથવા જવાબદારીઓનું પાલન કરવું. (ઉદાહરણ તરીકે. ગોપનીયતા કાયદાઓ, પી. સી. આઈ.-ડી. એસ. એસ., નૈતિક અને પર્યાવરણીય વિચારણાઓ); અનુભવમાંથી શીખવું (સંસ્થા દ્વારા અનુભવાયેલી ઘટનાઓ અને નજીકથી ચૂકી ગયેલા લોકો અને તુલનાત્મક સંસ્થાઓને અસર કરતી ઘટનાઓ સહિત) અને સતત સુધારો કરવો. ઉદ્દેશો ISO/IEC 27000-શ્રેણીના ધોરણો સંસ્થાના તમામ પ્રકારો અને કદને લાગુ પડે છે-એક ખૂબ જ વૈવિધ્યસભર જૂથ, તેથી તે બધા માટે ચોક્કસ અભિગમો, પદ્ધતિઓ, જોખમો અથવા નિયંત્રણોને ફરજિયાત બનાવવું યોગ્ય રહેશે નહીં. તેના બદલે, ધોરણો વ્યવસ્થાપન પ્રણાલીની છત્રછાયા હેઠળ સામાન્ય માર્ગદર્શન પૂરું પાડે છે. સંચાલકોને તેમની સંસ્થાની ચોક્કસ પરિસ્થિતિ માટે સુસંગત અને યોગ્ય માળખાગત પદ્ધતિઓનું પાલન કરવા માટે પ્રોત્સાહિત કરવામાં આવે છે, જે તેમની માહિતીના જોખમો સાથે તર્કસંગત અને વ્યવસ્થિત રીતે વ્યવહાર કરે છે. વ્યવસ્થાપન નિયંત્રણ હેઠળ માહિતીના જોખમોને ઓળખવા અને લાવવા એ સુનિશ્ચિત કરવામાં મદદ કરે છે કે તેમની સાથે યોગ્ય રીતે વ્યવહાર કરવામાં આવે છે, જે ફેરફારોને પ્રતિભાવ આપે છે અને સમય જતાં ISMSની વધુ પરિપક્વતા અને અસરકારકતા તરફ દોરી જતી સુધારાની તકોનો લાભ લે છે. પ્રમાણભૂત ISO/IEC 27005:2018 નું માળખું અને સામગ્રી અન્ય ISO/IEC ધોરણો માટે સામાન્ય પરંપરાગત માળખું ધરાવે છે, જેમાં નીચેના મુખ્ય વિભાગો છેઃ માહિતી સુરક્ષા જોખમ વ્યવસ્થાપન પ્રક્રિયાનું વિહંગાવલોકન સંદર્ભ સ્થાપના માહિતી સુરક્ષા જોખમ મૂલ્યાંકન માહિતી સુરક્ષા જોખમ સારવાર માહિતી સુરક્ષા જોખમ સ્વીકૃતિ માહિતી સુરક્ષા જોખમ સંચાર અને પરામર્શ માહિતી સુરક્ષા જોખમ દેખરેખ અને સમીક્ષા અને છ પરિશિષ્ટોઃ માહિતી સુરક્ષા જોખમ વ્યવસ્થાપન પ્રક્રિયાના અવકાશ અને સીમાઓને વ્યાખ્યાયિત કરવી અસ્કયામતોની ઓળખ અને મૂલ્યાંકન અને અસર આકારણી લાક્ષણિક જોખમો અને નબળાઈ મૂલ્યાંકન માટે પદ્ધતિઓના ઉદાહરણો