ISO/IEC 27006
آئی ایس او/آئی ای سی 27006 انفارمیشن سیکیورٹی کا ایک معیار ہے جسے انٹرنیشنل آرگنائزیشن فار اسٹینڈرڈائزیشن (آئی ایس او) اور انٹرنیشنل الیکٹرو ٹیکنیکل کمیشن (آئی ای سی) نے شائع کیا ہے۔ آئی ایس او/آئی ای سی انفارمیشن سیکیورٹی مینجمنٹ سسٹم (آئی ایس ایم ایس) معیارات کی آئی ایس او/آئی ای سی 27000 سیریز کا حصہ، اس کا عنوان انفارمیشن ٹیکنالوجی-سیکیورٹی تکنیک-انفارمیشن سیکیورٹی مینجمنٹ سسٹم کے آڈٹ اور تصدیق فراہم کرنے والے اداروں کے لیے تقاضے ہے۔ آئی ایس او/آئی ای سی 27006 تسلیم شدہ تنظیموں کے لیے رسمی تقاضے بیان کرتا ہے جو آئی ایس او/آئی ای سی 27001 کے مطابق دیگر تنظیموں کی تصدیق کرتے ہیں۔ یہ مؤثر طریقے سے ای اے 7/03 (سرٹیفیکیشن/رجسٹریشن چلانے والے اداروں کی منظوری کے لیے رہنما خطوط) کی جگہ لے لیتا ہے۔ انفارمیشن سیکیورٹی مینجمنٹ سسٹم)۔ یہ معیار اس بات کو یقینی بنانے میں مدد کرتا ہے کہ تسلیم شدہ تنظیموں کے ذریعہ جاری کردہ آئی ایس او/آئی ای سی 27001 سرٹیفکیٹ بامعنی اور قابل اعتماد ہیں، دوسرے الفاظ میں یہ یقین دہانی کی بات ہے۔ معیاری آئی ایس او 27006 کی تفصیل آئی ایس او 17021-1 اور آئی ایس او 27001 کے ذریعہ مقرر کردہ تقاضوں کے علاوہ، انفارمیشن سیکیورٹی مینجمنٹ سسٹم (آئی ایس ایم ایس) کا آڈٹ اور تصدیق کرنے والے تیسرے فریقوں کے لیے منظوری کے تقاضوں کا خاکہ پیش کرتی ہے۔ یہ معیار پہلی بار 2007 میں شائع ہوا تھا، اور آئی ایس او 17021 معیار میں کی گئی اہم تبدیلیوں کی وجہ سے اسے دو بار نظر ثانی کرنا پڑی۔ موجودہ ورژن آئی ایس او 27006 تیسرا ایڈیشن ہے جو 2015 میں شائع ہوا تھا۔ آئی ایس او 27006:2015 آئی ایس ایم ایس آڈیٹرز کی اہلیت کے مظاہرے کے لیے معیارات طے کرتا ہے۔ سرٹیفیکیشن باڈی آڈیٹنگ آئی ایس ایم ایس کو اس بات کی تصدیق کرنے کی ضرورت ہے کہ آڈیٹنگ ٹیم کے ہر آڈیٹر کو آئی ایس ایم ایس کی نگرانی، پیمائش، تجزیہ اور تشخیص، انفارمیشن سیکیورٹی، مینجمنٹ سسٹم، آڈیٹنگ کے اصول، اور آڈٹ کیے جانے والے سسٹمز کا تکنیکی علم ہے۔ ٹیم کے تمام آڈیٹرز کو اجتماعی طور پر انفارمیشن سسٹمز مینجمنٹ کی اصطلاحات، اصولوں اور تکنیکوں سے واقف ہونا چاہیے۔ انہیں آئی ایس او 27001 سے تمام ضروریات، آئی ایس او 27002 میں درج تمام کنٹرولز کا علم ہونا چاہیے۔ نیز، آڈیٹرز کو کاروباری نظم و نسق کے طریقوں، کسی خاص انفارمیشن سسٹم کے شعبے، جغرافیہ اور دائرہ اختیار میں قانونی اور ریگولیٹری تقاضوں سے آگاہ ہونا چاہیے۔ آڈٹ کا جائزہ لینے اور تصدیق کے فیصلے کرنے والے اہلکاروں کے ذریعے بھی اہلیت کا مظاہرہ کیا جانا چاہیے۔ سرٹیفیکیشن کے دائرہ کار کی درستگی کی تصدیق کے لیے انہیں کافی علم ہونا ضروری ہے۔ نیز، انہیں انتظامی نظام، آڈٹ کے طریقہ کار، اصولوں اور تکنیکوں کا عمومی علم ہونا ضروری ہے۔ آئی ایس او 27006:2015 مناسب تعلیم، پیشہ ورانہ ترقی، آئی ایس ایم ایس آڈٹ کا احاطہ کرنے والی تربیت، اور موجودہ/متعلقہ تجربے کی سطح کا بھی خاکہ پیش کرتا ہے۔ معیار کا ارادہ آئی ایس او 27006 کا بنیادی ارادہ انفارمیشن سیکیورٹی مینجمنٹ سسٹم کی تصدیق کرنے والے تیسرے فریق کے لیے منظوری کی حمایت کرنا ہے۔ کسی بھی تسلیم شدہ تھرڈ پارٹی آڈیٹنگ اور آئی ایس او 27001 کے ساتھ تعمیل کی تصدیق کرنے کے لیے اس معیار کی ضروریات پر عمل کرنا ضروری ہے تاکہ یہ یقینی بنایا جا سکے کہ آئی ایس ایم ایس سرٹیفکیٹ درست ہیں۔ تسلیم شدہ تیسرے فریق کو اپنی اہلیت اور وشوسنییتا کا مظاہرہ کرنے کی ضرورت ہے۔ درخواست آئی ایس او 27001 سرٹیفیکیشن حاصل کرنے والی ایک درمیانے درجے کی تنظیم کو آئی ایس ایم ایس سرٹیفیکیشن آڈٹ مکمل کرنے کے لیے ایک تسلیم شدہ سرٹیفیکیشن باڈی کی خدمات حاصل کرنے کی ضرورت ہوتی ہے۔ تنظیم کو اس بات کو یقینی بنانے کے لیے مستعدی سے کام لینا چاہیے کہ منتخب آڈیٹنگ فرم آئی ایس او 27006:2015 معیار کی تعمیل کرتی ہے۔ آڈٹ کے دوران، تنظیم کو یہ یقینی بنانا چاہیے کہ آڈٹ کو مکمل کرنے کے لیے ضروری تمام دستاویزات دستیاب ہوں، آڈیٹنگ ٹیم کو آئی ایس ایم ایس ریکارڈ فراہم کریں، بشمول آئی ایس ایم ایس ڈیزائن اور کنٹرولز کی تاثیر کے بارے میں معلومات تک محدود۔ آئی ایس او/آئی ای سی 27000-سیریز آئی ایس او/آئی ای سی جے ٹی سی 1/ایس سی 27-آئی ٹی سیکورٹی تکنیک حوالہ جات بیرونی روابط آئی ایس او ویب سائٹ 27006 بھی دیکھیں۔