ISO/IEC 27005
آئی ایس او/آئی ای سی 27005 "انفارمیشن ٹیکنالوجی-سیکیورٹی تکنیک-انفارمیشن سیکیورٹی رسک مینجمنٹ" ایک بین الاقوامی معیار ہے جسے انٹرنیشنل آرگنائزیشن فار اسٹینڈرڈائزیشن (آئی ایس او) اور انٹرنیشنل الیکٹرو ٹیکنیکل کمیشن (آئی ای سی) نے شائع کیا ہے جو معلومات کو لاحق خطرات کے انتظام کے لیے اچھی عملی رہنمائی فراہم کرتا ہے۔ یہ معیارات کی آئی ایس او/آئی ای سی 27000 سیریز کا ایک بنیادی حصہ ہے، جسے عام طور پر آئی ایس او 27 کے کے نام سے جانا جاتا ہے۔ یہ معیار منظم طریقے سے انفارمیشن سیکیورٹی کے خطرات کی شناخت، تشخیص، تشخیص اور علاج کے بارے میں مشورہ پیش کرتا ہے-یہ عمل آئی ایس او 27 کے انفارمیشن سیکیورٹی مینجمنٹ سسٹم (آئی ایس ایم ایس) کے بالکل مرکز میں ہے۔ اس کا مقصد اس بات کو یقینی بنانا ہے کہ تنظیمیں اپنے انفارمیشن سیکیورٹی کے خطرات کے مطابق اپنے انفارمیشن سیکیورٹی کنٹرولز اور دیگر انتظامات کو عقلی طور پر ڈیزائن، عمل درآمد، انتظام، نگرانی اور برقرار رکھیں۔ آئی ایس او/آئی ای سی 27005 کا موجودہ تیسرا ایڈیشن 2018 میں شائع ہوا تھا۔ چوتھا ایڈیشن تیار کیا جا رہا ہے اور اسے 2022 کے آخر میں شائع کیا جانا ہے۔ جائزہ آئی ایس او/آئی ای سی 27005 خطرے کے انتظام کے مخصوص طریقوں کی تفصیل سے وضاحت یا سفارش نہیں کرتا ہے۔ اس کے بجائے یہ عمل پر مزید عمومی/مجموعی طور پر بحث کرتا ہے، آئی ایس او 31000 یعنی عام رسک مینجمنٹ کے طریقہ کار پر مبنی ہے۔ : خطرات کی شناخت کریں اور ان کا اندازہ لگائیں ؛ یہ فیصلہ کریں کہ خطرات کے بارے میں کیا کرنا ہے (ان کا 'علاج' کیسے کرنا ہے)۔ اور یہ کریں ؛ خطرات، خطرے کے علاج وغیرہ کی نگرانی کریں، اہم تبدیلیوں، مسائل/خدشات یا بہتری کے مواقع کی نشاندہی کریں اور مناسب جواب دیں ؛ اسٹیک ہولڈرز (بنیادی طور پر تنظیم کے انتظام) کو پورے عمل میں آگاہ رکھیں۔ اس وسیع فریم ورک کے اندر، تنظیموں کی حوصلہ افزائی کی جاتی ہے کہ وہ جو بھی معلومات رسک مینجمنٹ کے طریقے، حکمت عملی اور/یا نقطہ نظر ان کی مخصوص ضروریات کے مطابق بہترین طریقے سے منتخب کریں/تیار کریں اور استعمال کریں-مثال کے طور پر: مختلف واقعات، حالات یا منظرناموں کے امکان کی نشاندہی کرنا جو رازداری، سالمیت اور/یا معلومات کی دستیابی کو سمجھوتہ یا نقصان پہنچائیں گے۔ آئی ٹی سسٹمز اور نیٹ ورکس سے متعلق واقعات سے ممکنہ طور پر پیدا ہونے والے خطرات، خطرات اور کاروباری اثرات کا اندازہ لگانا، نیز دستی انفارمیشن پروسیسنگ، کاغذ پر موجود معلومات یا الفاظ اور تصاویر میں اظہار، نیز غیر محسوس معلومات جیسے علم، دانشورانہ املاک وغیرہ۔ ان عوامل پر غور کرنا جو مکمل طور پر تنظیم کے قابو میں ہیں، مکمل طور پر اس کے قابو سے باہر، یا جزوی طور پر قابو میں ہیں۔ تنظیم کے لیے معلومات کی مختلف شکلوں، اقسام یا زمروں کی مطلق یا رشتہ دار اقدار کا تعین کرنا، خاص طور پر معلومات اور انفارمیشن پروسیسنگ میں جو اہم کاروباری مقاصد کے حصول کے لیے اہم ہے۔ مختلف قسم کے واقعات کے امکان/امکان اور تنظیمی اثرات کا تخمینہ لگانے/تعین کرنے کے لیے مقداری یا معیاری/تقابلی طریقوں کا استعمال کرتے ہوئے معلومات کے خطرات کو بڑھانا اگر وہ واقع ہوتے تو ؛ دیگر اقسام کے سلسلے میں معلومات کے خطرات پر غور کرنا اور ان کا انتظام کرنا (جیسے۔ اسٹریٹجک، تجارتی/مارکیٹ، پروڈکٹ، آئی ٹی، صحت اور حفاظت، اور قانونی/ریگولیٹری تعمیل کے خطرات) ؛ رسک مینجمنٹ کے طریقوں اور تنظیم کے ذریعہ پہلے سے استعمال ہونے والے طریقوں کو لاگو کرنا/اپنانا، اچھے طریقوں کو اپنانا، یا نئے/ہائبرڈ طریقوں کو تیار کرنا ؛ یہ فیصلہ کرنا کہ خطرات سے بچنا ہے (عام طور پر خطرناک سرگرمیوں کو شروع نہ کرکے یا ان سے باہر نہ نکال کر)، انہیں تیسرے فریق کے ساتھ شیئر کریں (مثال کے طور پر۔ سائبر انشورنس یا معاہدے کی شقوں کے ذریعے)، انفارمیشن سیکیورٹی کنٹرولز کا استعمال کرتے ہوئے ان کو کم کریں، یا خطرے کی خواہش/رواداری کے معیار کو لاگو کرتے ہوئے انہیں برقرار رکھیں/قبول کریں ؛ خطرات کی اہمیت یا نوعیت کے مطابق ترجیح دینا، اور زیر غور خطرے کے علاج کی لاگت کی تاثیر یا دیگر مضمرات، اسی کے مطابق ان کا علاج کرنے کا منصوبہ بنانا، وسائل مختص کرنا وغیرہ۔ معلومات کے خطرات کو ان کے امکانات اور/یا اثرات کو مختلف طریقوں سے کم کرکے کم کرنا۔ خودکار، دستی، جسمانی یا انتظامی کنٹرول کا انتخاب کرنا جو حفاظتی، جاسوس یا اصلاحی ہوں ؛ غیر یقینی صورتحال سے نمٹنا، بشمول وہ جو رسک مینجمنٹ کے عمل کے اندر ہیں (مثال کے طور پر۔ غیر متوقع واقعات کا واقع ہونا، بدقسمت اتفاق، فیصلے کی غلطیاں اور کنٹرول کی جزوی یا مکمل ناکامی) ؛ جانچ، تشخیص، تشخیص، جائزے، آڈٹ وغیرہ کے ذریعے یقین دہانی حاصل کرنا۔ کہ منتخب کردہ خطرے کے علاج مناسب ہوں اور عملی طور پر کافی موثر رہیں۔ متعلقہ تقاضوں یا ذمہ داریوں کی تعمیل کرنا جو مختلف قوانین، ضوابط، معاہدوں، معاہدوں، معیارات، ضابطوں وغیرہ کے ذریعے تنظیم پر عائد کی جاتی ہیں، یا رضاکارانہ طور پر قبول کی جاتی ہیں۔ (مثلا۔ پرائیویسی قوانین، پی سی آئی-ڈی ایس ایس، اخلاقی اور ماحولیاتی تحفظات) ؛ تجربے سے سیکھنا (بشمول تنظیم کے ذریعے تجربہ کیے گئے واقعات اور قریب سے گمشدہ افراد، اور جو تقابلی تنظیموں کو متاثر کرتے ہیں) اور مسلسل بہتری لانا۔ مقاصد آئی ایس او/آئی ای سی 27000 معیارات کا سلسلہ تنظیم کی تمام اقسام اور سائز پر لاگو ہوتا ہے-ایک بہت ہی متنوع گروپ، اس لیے ان سب کے لیے مخصوص طریقوں، طریقوں، خطرات یا کنٹرول کو لازمی قرار دینا مناسب نہیں ہوگا۔ اس کے بجائے، معیارات انتظامی نظام کی چھتری کے نیچے عمومی رہنمائی فراہم کرتے ہیں۔ منتظمین کی حوصلہ افزائی کی جاتی ہے کہ وہ ان منظم طریقوں پر عمل کریں جو ان کی تنظیم کی مخصوص صورتحال سے متعلق اور مناسب ہوں، عقلی اور منظم طریقے سے ان کی معلومات کے خطرات سے نمٹیں۔ انتظامی کنٹرول کے تحت معلومات کے خطرات کی شناخت اور ان کو لانے سے اس بات کو یقینی بنانے میں مدد ملتی ہے کہ ان کے ساتھ مناسب سلوک کیا جائے، اس طرح سے جو تبدیلیوں کا جواب دیتا ہے اور بہتری کے مواقع سے فائدہ اٹھاتا ہے جس سے وقت کے ساتھ ساتھ آئی ایس ایم ایس کی زیادہ پختگی اور تاثیر ہوتی ہے۔ معیاری آئی ایس او/آئی ای سی 27005:2018 کی ساخت اور مواد میں دیگر آئی ایس او/آئی ای سی معیارات کے لیے مشترکہ روایتی ڈھانچہ ہے، جس میں درج ذیل اہم حصے ہیں: معلومات کی حفاظت کے رسک مینجمنٹ کے عمل کا جائزہ۔ سیاق و سباق کا قیام۔ معلومات کی حفاظت کے رسک کی تشخیص۔ معلومات کی حفاظت کے رسک کی قبولیت۔ معلومات کی حفاظت کے رسک کے مواصلات اور مشاورت۔ معلومات کی حفاظت کے رسک کی نگرانی اور جائزہ اور چھ ضمیمہ: معلومات کی حفاظت کے رسک مینجمنٹ کے عمل کے دائرہ کار اور حدود کی وضاحت۔ اثاثوں کی شناخت اور تشخیص اور اثرات کی تشخیص۔ عام خطرات کی مثالیں۔