ISO/IEC 27005
ஐஎஸ்ஓ/ஐஇசி 27005 "தகவல் தொழில்நுட்பம்-பாதுகாப்பு நுட்பங்கள்-தகவல் பாதுகாப்பு இடர் மேலாண்மை" என்பது தரப்படுத்தலுக்கான சர்வதேச அமைப்பு (ஐஎஸ்ஓ) மற்றும் சர்வதேச எலக்ட்ரோடெக்னிக்கல் கமிஷன் (ஐஇசி) ஆகியவற்றால் வெளியிடப்பட்ட ஒரு சர்வதேச தரநிலையாகும், இது தகவல்களுக்கு ஏற்படும் அபாயங்களை நிர்வகிப்பதில் நல்ல நடைமுறை வழிகாட்டுதல்களை வழங்குகிறது. இது ISO/IEC 27000-தொடர் தரநிலைகளின் முக்கிய பகுதியாகும், இது பொதுவாக ISO27k என்று அழைக்கப்படுகிறது. தரநிலையானது தகவல் பாதுகாப்பு அபாயங்களை முறையாக அடையாளம் காண்பது, மதிப்பிடுவது, மதிப்பீடு செய்வது மற்றும் சிகிச்சையளிப்பது குறித்த ஆலோசனைகளை வழங்குகிறது-ஒரு ஐ. எஸ். ஓ 27 கே தகவல் பாதுகாப்பு மேலாண்மை அமைப்பின் (ஐ. எஸ். எம். எஸ்) மையத்தில் உள்ள செயல்முறைகள். நிறுவனங்கள் தங்கள் தகவல் பாதுகாப்பு அபாயங்களுக்கு ஏற்ப தங்கள் தகவல் பாதுகாப்பு கட்டுப்பாடுகள் மற்றும் பிற ஏற்பாடுகளை பகுத்தறிவுடன் வடிவமைத்தல், செயல்படுத்துதல், நிர்வகித்தல், கண்காணித்தல் மற்றும் பராமரித்தல் ஆகியவற்றை உறுதி செய்வதை இது நோக்கமாகக் கொண்டுள்ளது. ஐஎஸ்ஓ/ஐஇசி 27005 இன் தற்போதைய மூன்றாவது பதிப்பு 2018 இல் வெளியிடப்பட்டது. நான்காவது பதிப்பு தயாரிக்கப்பட்டு 2022 ஆம் ஆண்டின் இறுதியில் வெளியிடப்பட உள்ளது. கண்ணோட்டம் ஐஎஸ்ஓ/ஐஇசி 27005 குறிப்பிட்ட இடர் மேலாண்மை முறைகளை விரிவாக குறிப்பிடவோ பரிந்துரைக்கவோ இல்லை. அதற்கு பதிலாக இது செயல்முறையை மிகவும் பொதுவான/ஒட்டுமொத்த சொற்களில் விவாதிக்கிறது, ஐஎஸ்ஓ 31000 ஆல் விவரிக்கப்பட்ட பொதுவான இடர் மேலாண்மை முறையை வரைகிறது. : அபாயங்களை அடையாளம் கண்டு மதிப்பீடு செய்யுங்கள்; அபாயங்களைப் பற்றி என்ன செய்வது என்று முடிவு செய்யுங்கள் (அவற்றை எவ்வாறு 'கையாள்வது'). அதைச் செய்யுங்கள்; அபாயங்கள், இடர் சிகிச்சைகள் போன்றவற்றைக் கண்காணிக்கவும், குறிப்பிடத்தக்க மாற்றங்கள், சிக்கல்கள்/கவலைகள் அல்லது முன்னேற்றத்திற்கான வாய்ப்புகளை அடையாளம் கண்டு பொருத்தமாக பதிலளிக்கவும்; பங்குதாரர்களுக்கு (முக்கியமாக நிறுவனத்தின் நிர்வாகம்) செயல்முறை முழுவதும் தெரிவிக்கவும். அந்த பரந்த கட்டமைப்பிற்குள், நிறுவனங்கள் தங்கள் குறிப்பிட்ட தேவைகளுக்கு ஏற்ற வகையில் இடர் மேலாண்மை முறைகள், உத்திகள் மற்றும்/அல்லது அணுகுமுறைகளைத் தேர்ந்தெடுக்க/உருவாக்க மற்றும் பயன்படுத்த ஊக்குவிக்கப்படுகின்றன-எடுத்துக்காட்டாகஃ ரகசியத்தன்மை, ஒருமைப்பாடு மற்றும்/அல்லது தகவல் கிடைப்பதில் சமரசம் அல்லது தீங்கு விளைவிக்கும் பல்வேறு சம்பவங்கள், சூழ்நிலைகள் அல்லது சூழ்நிலைகளின் சாத்தியக்கூறுகளை அடையாளம் காணுதல்; தகவல் தொழில்நுட்ப அமைப்புகள் மற்றும் நெட்வொர்க்குகள், கையால் தகவல் செயலாக்கம், காகிதத்தில் உள்ள தகவல்கள் அல்லது வார்த்தைகள் மற்றும் படங்களில் வெளிப்படுத்தப்பட்ட தகவல்கள், மேலும் அறிவு, அறிவுசார் சொத்துரிமை போன்ற அருவமான தகவல்கள் ஆகியவற்றால் ஏற்படக்கூடிய அச்சுறுத்தல்கள், பாதிப்புகள் மற்றும் வணிக தாக்கங்களை மதிப்பீடு செய்தல். நிறுவனத்தின் கட்டுப்பாட்டிற்குள் இருக்கும், முற்றிலும் அதன் கட்டுப்பாட்டிற்கு வெளியே அல்லது ஓரளவு கட்டுப்படுத்தக்கூடிய காரணிகளைக் கருத்தில் கொண்டு; நிறுவனத்திற்கு பல்வேறு வடிவங்கள், வகைகள் அல்லது வகைகளின் தகவல்களின் முழுமையான அல்லது உறவினர் மதிப்புகளைத் தீர்மானித்தல், குறிப்பாக முக்கியமான வணிக நோக்கங்களை அடைவதற்கு முக்கியமான தகவல் மற்றும் தகவல் செயலாக்கத்தில்; பல்வேறு வகையான சம்பவங்களின் நிகழ்தகவு/நிகழ்தகவு மற்றும் அவை ஏற்பட்டால் நிறுவன தாக்கங்களை மதிப்பிட/தீர்மானிக்க அளவு அல்லது தரமான/ஒப்பீட்டு முறைகளைப் பயன்படுத்தி தகவல்களை அளவிடுதல் அபாயங்கள்; பிற வகைகள் தொடர்பாக தகவல் அபாயங்களைக் கருத்தில் கொண்டு நிர்வகிப்பது (எ. கா. மூலோபாய, வணிக/சந்தை, தயாரிப்பு, தகவல் தொழில்நுட்பம், சுகாதாரம் மற்றும் பாதுகாப்பு, மற்றும் சட்ட/ஒழுங்குமுறை இணக்க அபாயங்கள்); நிறுவனத்தால் ஏற்கனவே பயன்படுத்தப்படும் இடர் மேலாண்மை முறைகள் மற்றும் அணுகுமுறைகளைப் பயன்படுத்துதல்/மாற்றியமைத்தல், நல்ல நடைமுறைகளைப் பின்பற்றுதல் அல்லது புதிய/கலப்பு அணுகுமுறைகளை உருவாக்குதல்; அபாயங்களைத் தவிர்க்கலாமா என்பதைத் தீர்மானித்தல் (பொதுவாக ஆபத்தான நடவடிக்கைகளைத் தொடங்கவோ அல்லது வெளியேற்றவோ கூடாது), அவற்றை மூன்றாம் தரப்பினருடன் பகிர்ந்து கொள்ளுங்கள் (எ. கா. சைபர்-காப்பீடு அல்லது ஒப்பந்த உட்பிரிவுகள் மூலம்), தகவல் பாதுகாப்புக் கட்டுப்பாடுகளைப் பயன்படுத்தி அவற்றைக் குறைத்தல், அல்லது தக்கவைத்தல்/ஏற்றுக்கொள்வது, ஆபத்து பசியின்மை/சகிப்புத்தன்மை அளவுகோல்களைப் பயன்படுத்துதல்; அபாயங்களின் முக்கியத்துவம் அல்லது தன்மைக்கு ஏற்ப முன்னுரிமை அளித்தல், மற்றும் பரிசீலனையில் உள்ள ஆபத்து சிகிச்சைகளின் செலவு-செயல்திறன் அல்லது பிற தாக்கங்கள், அதற்கேற்ப அவற்றைக் கையாளத் திட்டமிடுதல், வளங்களை ஒதுக்குவது போன்றவை. தகவல் அபாயங்களை அவற்றின் நிகழ்தகவு மற்றும்/அல்லது தாக்கத்தை பல்வேறு வழிகளில் குறைப்பதன் மூலம் குறைத்தல் எ. கா. தடுப்பு, துப்பறியும் அல்லது திருத்தும் தானியங்கி, கையால், உடல் அல்லது நிர்வாகக் கட்டுப்பாடுகளைத் தேர்ந்தெடுப்பது; இடர் மேலாண்மை செயல்முறைக்குள் உள்ளவை உட்பட நிச்சயமற்ற தன்மைகளைக் கையாளுதல் (எ. கா. எதிர்பாராத சம்பவங்கள், துரதிர்ஷ்டவசமான தற்செயல்கள், தீர்ப்பின் பிழைகள் மற்றும் கட்டுப்பாடுகளின் பகுதி அல்லது முழுமையான தோல்வி); சோதனை, மதிப்பீடு, மதிப்பீடு, மதிப்புரைகள், தணிக்கைகள் போன்றவற்றின் மூலம் உத்தரவாதம் பெறுதல். தேர்ந்தெடுக்கப்பட்ட இடர் சிகிச்சைகள் பொருத்தமானவை மற்றும் நடைமுறையில் போதுமான பயனுள்ளதாக இருக்க வேண்டும்; பல்வேறு சட்டங்கள், ஒழுங்குமுறைகள், ஒப்பந்தங்கள், ஒப்பந்தங்கள், தரநிலைகள், குறியீடுகள் போன்றவற்றின் மூலம் நிறுவனத்திற்கு விதிக்கப்படும் அல்லது தானாகவே ஏற்றுக்கொள்ளப்படும் பொருத்தமான தேவைகள் அல்லது கடமைகளுக்கு இணங்குதல். (எ. கா. தனியுரிமைச் சட்டங்கள், பிசிஐ-டிஎஸ்எஸ், நெறிமுறை மற்றும் சுற்றுச்சூழல் கருத்தாய்வுகள்); அனுபவத்திலிருந்து கற்றுக்கொள்வது (நிறுவனம் அனுபவித்த சம்பவங்கள் மற்றும் அருகிலுள்ள தவறுகள் மற்றும் ஒப்பிடக்கூடிய நிறுவனங்களை பாதிக்கும் சம்பவங்கள் உட்பட) மற்றும் தொடர்ந்து மேம்படுதல். குறிக்கோள்கள் ஐஎஸ்ஓ/ஐஇசி 27000 தொடர் தரநிலைகள் அனைத்து வகையான மற்றும் அளவிலான நிறுவனங்களுக்கும் பொருந்தும்-மிகவும் மாறுபட்ட குழு, எனவே அவை அனைத்திற்கும் குறிப்பிட்ட அணுகுமுறைகள், முறைகள், அபாயங்கள் அல்லது கட்டுப்பாடுகளை கட்டாயப்படுத்துவது பொருத்தமானதாக இருக்காது. அதற்கு பதிலாக, தரநிலைகள் ஒரு மேலாண்மை அமைப்பின் குடையின் கீழ் பொதுவான வழிகாட்டுதல்களை வழங்குகின்றன. மேலாளர்கள் தங்கள் நிறுவனத்தின் குறிப்பிட்ட சூழ்நிலைக்கு பொருத்தமான மற்றும் பொருத்தமான கட்டமைக்கப்பட்ட முறைகளைப் பின்பற்ற ஊக்குவிக்கப்படுகிறார்கள், அவர்களின் தகவல் அபாயங்களை பகுத்தறிவுடனும் முறையாகவும் கையாளுகிறார்கள். தகவல் அபாயங்களை அடையாளம் கண்டு அவற்றை நிர்வாகக் கட்டுப்பாட்டின் கீழ் கொண்டு வருவது, அவை சரியான முறையில் நடத்தப்படுவதை உறுதிசெய்ய உதவுகிறது, இது மாற்றங்களுக்கு பதிலளிக்கும் மற்றும் ISMS இன் அதிக முதிர்ச்சி மற்றும் செயல்திறனுக்கு வழிவகுக்கும் மேம்பாட்டு வாய்ப்புகளைப் பயன்படுத்திக் கொள்ளும் வகையில் உள்ளது. தரமான ஐஎஸ்ஓ/ஐஇசி 27005:2018 இன் கட்டமைப்பு மற்றும் உள்ளடக்கம் பின்வரும் முக்கிய பிரிவுகளுடன் பிற ஐஎஸ்ஓ/ஐஇசி தரங்களுக்கு பொதுவான வழக்கமான கட்டமைப்பைக் கொண்டுள்ளதுஃ தகவல் பாதுகாப்பு இடர் மேலாண்மை செயல்முறையின் கண்ணோட்டம் சூழல் ஸ்தாபனம் தகவல் பாதுகாப்பு இடர் மதிப்பீடு தகவல் பாதுகாப்பு இடர் சிகிச்சை தகவல் பாதுகாப்பு இடர் ஏற்றுக்கொள்ளுதல் தகவல் பாதுகாப்பு இடர் தொடர்பு மற்றும் ஆலோசனை தகவல் பாதுகாப்பு இடர் கண்காணிப்பு மற்றும் மதிப்பாய்வு மற்றும் ஆறு இணைப்புகள்ஃ தகவல் பாதுகாப்பு இடர் மேலாண்மை செயல்முறையின் நோக்கம் மற்றும் எல்லைகளை வரையறுத்தல் சொத்துக்கள் மற்றும் தாக்க மதிப்பீட்டின் அடையாளம் மற்றும் மதிப்பீடு பொதுவான அச்சுறுத்தல்களின் எடுத்துக்காட்டுகள்