ISO/IEC 27005
आई. एस. ओ./आई. ई. सी. 27005 "सूचना प्रौद्योगिकी-सुरक्षा तकनीक-सूचना सुरक्षा जोखिम प्रबंधन" अंतर्राष्ट्रीय मानकीकरण संगठन (आई. एस. ओ.) और अंतर्राष्ट्रीय विद्युत तकनीकी आयोग (आई. ई. सी.) द्वारा प्रकाशित एक अंतर्राष्ट्रीय मानक है जो सूचना के लिए जोखिमों के प्रबंधन पर अच्छा अभ्यास मार्गदर्शन प्रदान करता है। यह मानकों की आई. एस. ओ./आई. ई. सी. 27000-श्रृंखला का एक मुख्य हिस्सा है, जिसे आमतौर पर आई. एस. ओ. 27के के रूप में जाना जाता है। यह मानक आईएसओ27के सूचना सुरक्षा प्रबंधन प्रणाली (आईएसएमएस) के केंद्र में सूचना सुरक्षा जोखिमों की व्यवस्थित रूप से पहचान, मूल्यांकन, मूल्यांकन और उपचार पर सलाह प्रदान करता है। इसका उद्देश्य यह सुनिश्चित करना है कि संगठन अपने सूचना सुरक्षा जोखिमों के अनुसार अपने सूचना सुरक्षा नियंत्रणों और अन्य व्यवस्थाओं को तर्कसंगत रूप से डिजाइन, कार्यान्वयन, प्रबंधन, निगरानी और बनाए रखें। आईएसओ/आईईसी 27005 का वर्तमान तीसरा संस्करण 2018 में प्रकाशित किया गया था। चौथे संस्करण का मसौदा तैयार किया जा रहा है और इसे 2022 के अंत में प्रकाशित किया जाना है। आई. एस. ओ./आई. ई. सी. 27005 विशिष्ट जोखिम प्रबंधन विधियों को विस्तार से निर्दिष्ट या अनुशंसित नहीं करता है। इसके बजाय यह प्रक्रिया पर अधिक सामान्य/समग्र शब्दों में चर्चा करता है, जो आई. एस. ओ. 31000 द्वारा वर्णित सामान्य जोखिम प्रबंधन विधि पर आधारित है। : जोखिमों की पहचान करें और उनका आकलन करें; जोखिमों के बारे में क्या करना है (उनका 'इलाज' कैसे करें). और इसे करें; जोखिमों, जोखिम उपचारों आदि की निगरानी करें, महत्वपूर्ण परिवर्तनों, मुद्दों/चिंताओं या सुधार के अवसरों की पहचान करें और उचित रूप से प्रतिक्रिया दें; हितधारकों (मुख्य रूप से संगठन के प्रबंधन) को पूरी प्रक्रिया में सूचित रखें। उस व्यापक ढांचे के भीतर, संगठनों को अपनी विशेष आवश्यकताओं के अनुरूप जो भी सूचना जोखिम प्रबंधन विधियों, रणनीतियों और/या दृष्टिकोणों का चयन/विकास और उपयोग करने के लिए प्रोत्साहित किया जाता है-उदाहरण के लिएः विभिन्न घटनाओं, स्थितियों या परिदृश्यों की संभावना की पहचान करना जो गोपनीयता, अखंडता और/या सूचना की उपलब्धता से समझौता या नुकसान पहुंचा सकते हैं; आई. टी. प्रणालियों और नेटवर्क से जुड़ी घटनाओं से संभावित रूप से उत्पन्न होने वाले खतरों, कमजोरियों और व्यावसायिक प्रभावों का आकलन करना, साथ ही हस्तचालित सूचना प्रसंस्करण, कागज पर जानकारी या शब्दों और चित्रों में व्यक्त की गई जानकारी, साथ ही अमूर्त जानकारी जैसे ज्ञान, बौद्धिक संपदा आदि। उन कारकों पर विचार करना जो पूरी तरह से संगठन के नियंत्रण में हैं, पूरी तरह से उसके नियंत्रण से बाहर हैं, या आंशिक रूप से नियंत्रणीय हैं; संगठन के लिए विभिन्न रूपों, प्रकारों या श्रेणियों की जानकारी के पूर्ण या सापेक्ष मूल्यों का निर्धारण करना, विशेष रूप से जानकारी और सूचना प्रसंस्करण में जो महत्वपूर्ण व्यावसायिक उद्देश्यों की प्राप्ति के लिए महत्वपूर्ण है; विभिन्न प्रकार की घटनाओं की संभावना/संभावना और संगठनात्मक प्रभावों का अनुमान लगाने/निर्धारित करने के लिए मात्रात्मक या गुणात्मक/तुलनात्मक तरीकों का उपयोग करके जानकारी को आकार देना जोखिम; अन्य प्रकार के संबंध में सूचना जोखिमों पर विचार करना और उनका प्रबंधन करना (जैसे। रणनीतिक, वाणिज्यिक/बाजार, उत्पाद, आई. टी., स्वास्थ्य और सुरक्षा, और कानूनी/नियामक अनुपालन जोखिम); संगठन द्वारा पहले से उपयोग की जाने वाली जोखिम प्रबंधन विधियों और दृष्टिकोणों को लागू करना/अपनाना, अच्छी प्रथाओं को अपनाना, या नए/संकर दृष्टिकोण विकसित करना; यह तय करना कि जोखिमों से बचना है या नहीं (आमतौर पर जोखिम भरी गतिविधियों को शुरू या बाहर नहीं निकालना), उन्हें तीसरे पक्ष के साथ साझा करें (जैसे। साइबर-बीमा या संविदात्मक खंडों के माध्यम से), सूचना सुरक्षा नियंत्रणों का उपयोग करके उन्हें कम करें, या जोखिम लेने की क्षमता/सहिष्णुता मानदंडों को लागू करते हुए उन्हें बनाए रखें/स्वीकार करें; जोखिमों के महत्व या प्रकृति के अनुसार प्राथमिकता देना, और विचाराधीन जोखिम उपचारों की लागत-प्रभावशीलता या अन्य निहितार्थ, तदनुसार उनका इलाज करने की योजना बनाना, संसाधनों का आवंटन करना आदि। विभिन्न तरीकों से उनकी संभावना और/या प्रभाव को कम करके सूचना जोखिमों को कम करना। स्वचालित, हस्तचालित, भौतिक या प्रशासनिक नियंत्रणों का चयन करना जो निवारक, जासूसी या सुधारात्मक हैं; अनिश्चितताओं से निपटना, जिसमें जोखिम प्रबंधन प्रक्रिया के भीतर भी शामिल हैं (जैसे। अप्रत्याशित घटनाओं की घटना, दुर्भाग्यपूर्ण संयोग, निर्णय की त्रुटियाँ और नियंत्रण की आंशिक या पूर्ण विफलता); परीक्षण, मूल्यांकन, मूल्यांकन, समीक्षा, लेखा परीक्षा आदि के माध्यम से आश्वासन प्राप्त करना। कि चुने गए जोखिम उपचार उपयुक्त हों और व्यवहार में पर्याप्त रूप से प्रभावी रहें; विभिन्न कानूनों, विनियमों, अनुबंधों, समझौतों, मानकों, संहिताओं आदि के माध्यम से संगठन पर लगाए गए या स्वेच्छा से स्वीकार किए गए प्रासंगिक आवश्यकताओं या दायित्वों का पालन करना। (उदाहरण के लिए। गोपनीयता कानून, पीसीआई-डीएसएस, नैतिक और पर्यावरणीय विचार); अनुभव से सीखना (संगठन द्वारा अनुभव की गई घटनाओं के साथ-साथ निकट-चूक, और तुलनीय संगठनों को प्रभावित करने वाली घटनाओं सहित) और लगातार सुधार करना। उद्देश्य आई. एस. ओ./आई. ई. सी. 27000-मानकों की श्रृंखला सभी प्रकार और आकार के संगठनों पर लागू होती है-एक बहुत ही विविध समूह, इसलिए उन सभी के लिए विशिष्ट दृष्टिकोण, विधियों, जोखिमों या नियंत्रणों को अनिवार्य करना उचित नहीं होगा। इसके बजाय, मानक एक प्रबंधन प्रणाली की छत्रछाया में सामान्य मार्गदर्शन प्रदान करते हैं। प्रबंधकों को उनके संगठन की विशेष स्थिति के लिए प्रासंगिक और उपयुक्त संरचित तरीकों का पालन करने के लिए प्रोत्साहित किया जाता है, जो उनके सूचना जोखिमों से तर्कसंगत और व्यवस्थित रूप से निपटते हैं। प्रबंधन नियंत्रण के तहत सूचना जोखिमों की पहचान करने और उन्हें लाने से यह सुनिश्चित करने में मदद मिलती है कि उनके साथ उचित व्यवहार किया जाए, इस तरह से जो परिवर्तनों का जवाब देता है और समय के साथ आई. एस. एम. एस. की अधिक परिपक्वता और प्रभावशीलता के लिए सुधार के अवसरों का लाभ उठाता है। मानक आई. एस. ओ./आई. ई. सी. 27005:2018 की संरचना और सामग्री में अन्य आई. एस. ओ./आई. ई. सी. मानकों के लिए सामान्य पारंपरिक संरचना है, जिसमें निम्नलिखित मुख्य खंड हैंः सूचना सुरक्षा जोखिम प्रबंधन प्रक्रिया का अवलोकन संदर्भ स्थापना <ली> सूचना सुरक्षा जोखिम मूल्यांकन <ली> सूचना सुरक्षा जोखिम उपचार <ली> सूचना सुरक्षा जोखिम स्वीकृति <ली> सूचना सुरक्षा जोखिम संचार और परामर्श <ली> सूचना सुरक्षा जोखिम निगरानी और समीक्षा और छह परिशिष्टः <ली> सूचना सुरक्षा जोखिम प्रबंधन प्रक्रिया के दायरे और सीमाओं को परिभाषित करना परिसंपत्तियों और प्रभाव मूल्यांकन की पहचान और मूल्यांकन विशिष्ट खतरों के उदाहरण <ली> भेद्यता मूल्यांकन के लिए भेद्यता और तरीके <ली> सूचना सुरक्षा जोखिम मूल्यांकन दृष्टिकोण <ली