छोटी कंपनी को ISO 27001 की ज़रूरत है?

ISO 27001 दुनिया में सबसे व्यापक रूप से मान्य सुरक्षा प्रमाणन है, और छोटी कंपनियों से अक्सर कहा जाता है कि उन्हें इसकी ज़रूरत है। किसी बड़े ग्राहक का खरीद फ़ॉर्म इसे माँगता है; कोई निविदा इसे अनिवार्य करती है; कोई सलाहकार इसकी सिफ़ारिश करता है। "क्या हमें इसकी ज़रूरत है?" इसका ईमानदार जवाब है: यह इस पर निर्भर करता है कि पूछ कौन रहा है, और यह कभी सब-या-कुछ-नहीं वाली बात नहीं होती।

कब यह सार्थक है

• ग्राहक या निविदाएँ इसे अनिवार्य करती हैं। यदि एंटरप्राइज़ या सार्वजनिक क्षेत्र के खरीदार विशेष रूप से ISO 27001 प्रमाणन माँगते हैं, तो प्रमाणपत्र हर सौदे में प्रश्नावली का काम बचाता है और निर्णायक साबित हो सकता है।
• आप अंतरराष्ट्रीय स्तर पर बिक्री करते हैं। अमेरिका के बाहर, आपूर्तिकर्ता सुरक्षा की साझा भाषा ISO 27001 ही है।
• आपको एक परियोजना नहीं, एक कार्यक्रम चाहिए। प्रबंधन प्रणाली (जोखिम मूल्यांकन, उद्देश्य, आंतरिक ऑडिट, प्रबंधन समीक्षा) ऐसी आदतें बनाती है जो किसी एक ऑडिट से आगे भी टिकी रहती हैं।

कब कोई और चीज़ पहले आती है

• अमेरिकी ग्राहक SOC 2 माँग रहे हैं। तब SOC 2 रिपोर्ट ही मुख्य परिणाम है; देखें किस फ़्रेमवर्क से शुरुआत करें।
• अभी कोई नहीं पूछ रहा। एक मज़बूत तकनीकी बेसलाइन, जैसे CIS Controls का Implementation Group 1 या कोई सरकारी बेसलाइन योजना, उस प्रबंधन प्रणाली से अधिक सुरक्षा प्रति घंटे देती है जिसे आपसे प्रमाणित कराना ज़रूरी नहीं है।
• आप अभी उत्पाद-पूर्व चरण में हैं। हर फ़्रेमवर्क द्वारा ज़रूरी साझा कोर बनाएँ (संपत्ति सूची, पैचिंग, MFA, बैकअप और घटना प्रतिक्रिया) और जब व्यवसाय को ज़रूरत हो तब प्रमाणन कराएँ।

इसे अनुपातिक रखना

ISO 27001 के लिए किसी बड़े संगठन जैसा कागज़ी काम ज़रूरी नहीं है। दस लोगों की कंपनी इन चीज़ों के साथ प्रमाणित हो सकती है:

• एक कसा हुआ दायरा (वह उत्पाद और वे लोग जो उसे बनाते और चलाते हैं);
• छोटी नीतियाँ जो बताएँ कि आप वास्तव में क्या करते हैं;
• एक वास्तविक जोखिम मूल्यांकन, जिसमें शायद कुछ दर्जन जोखिम हों, हर एक के मालिक के साथ;
• एक Statement of Applicability जिसमें ईमानदार बहिष्करण हों (देखें इसे कैसे लिखें);
• आंतरिक ऑडिट किसी स्वतंत्र व्यक्ति द्वारा, जो छोटी कंपनी के लिए अक्सर किसी बाहरी अंशकालिक विशेषज्ञ का मतलब होता है।

छोटी कंपनियों को जो बोझ उठाना पड़ता है, उसका अधिकांश हिस्सा एंटरप्राइज़ के लिए बने टेम्पलेट अपनाने से आता है।

छोटी कंपनी के लिए इसकी वास्तविक लागत

बाहरी ऑडिट शुल्क आमतौर पर छोटा हिस्सा होता है। असली लागत समय है: कोई व्यक्ति इस कार्यक्रम का मालिक होना चाहिए, और छोटी कंपनी में यह अक्सर कोई संस्थापक या इंजीनियरिंग लीड होता है जो छह महीने या उससे अधिक समय तक हर सप्ताह इसमें कुछ हिस्सा लगाता है, फिर उसे चलाए रखने के लिए हर महीने कुछ दिन। कोई भी टूलिंग जोड़ें, और यदि आपके पास कोई स्वतंत्र व्यक्ति नहीं है तो एक बाहरी आंतरिक ऑडिटर भी।

लाभ सौदों से आता है। यदि साल में एक एंटरप्राइज़ ग्राहक भी प्रमाणपत्र माँगता है, तो वह आमतौर पर अपना खर्च निकाल लेता है; यदि कोई नहीं माँगता, तो उसी समय को तकनीकी नियंत्रणों पर लगाने से अधिक सुरक्षा मिलती है। इसीलिए निर्णय इस सवाल से शुरू होना चाहिए कि पूछ कौन रहा है। अन्य फ़्रेमवर्क का कितना हिस्सा एक ISO कार्यक्रम से मिल जाता है, इसके लिए हमारा प्रारंभिक बिंदु विश्लेषण देखें, और आवश्यकता-दर-आवश्यकता दृश्य के लिए ISO 27001 फ़्रेमवर्क पृष्ठ।

मुख्य बातें

• जब ग्राहक या निविदाएँ इसे अनिवार्य करें, तब ISO 27001 लें; अन्यथा पहले सुरक्षा बनाएँ।
• ISMS को कंपनी के आकार के अनुसार रखें: कसा हुआ दायरा, छोटी नीतियाँ, एक वास्तविक जोखिम मूल्यांकन।
• छोटी कंपनियों की अधिकांश परेशानी एंटरप्राइज़ टेम्पलेट से आती है, मानक से नहीं।

निष्कर्ष

यदि ग्राहक प्रमाणपत्र अनिवार्य करते हैं, तो उसे लें और अपनी कंपनी के अनुसार आकार दें। यदि नहीं करते, तो पहले सुरक्षा बनाएँ और प्रमाणपत्र तब लें जब वह अपना खर्च निकाल ले। दोनों ही स्थितियों में काम आगे भी काम आता है: ISO 27001 उन अधिकांश फ़्रेमवर्क से मेल खाता है जो छोटी कंपनियों को आगे चलकर मिलते हैं।

दिशा	मैप किया गया	ढीले तौर पर संबंधित	कोई मैपिंग नहीं
ISO 27001 है → SOC 2 चाहिए	61 में से 41 (67%)	0	20	रिपोर्ट →
SOC 2 है → ISO 27001 चाहिए	123 में से 98 (80%)	21	4	रिपोर्ट →

ISO 27001 गाइड चरण-दर-चरण बताती है कि प्रमाणन कैसे होता है।

प्रश्न

क्या स्टार्टअप के लिए ISO 27001 बहुत ज़्यादा है?

ज़रूरी नहीं, बशर्ते इसे कंपनी के अनुसार आकार दिया जाए: छोटा दायरा, छोटी नीतियाँ और एक जोखिम मूल्यांकन जो वास्तविक जोखिमों को दर्शाए। यह तब बहुत ज़्यादा हो जाता है जब बड़े संगठनों के लिए बने टेम्पलेट पूरी तरह से अपना लिए जाएँ।

यदि कोई ग्राहक ISO 27001 नहीं माँग रहा, तो एक छोटी कंपनी को सबसे पहले क्या करना चाहिए?

एक ठोस तकनीकी बेसलाइन (जैसे CIS Controls IG1) और हर फ़्रेमवर्क द्वारा ज़रूरी साझा कोर लागू करें: संपत्ति सूची, पैचिंग, MFA, बैकअप और घटना प्रतिक्रिया।

क्या एक छोटी कंपनी बिना सलाहकारों के ISO 27001 पास कर सकती है?

हाँ। मानक छोटा है, और कई छोटी कंपनियाँ आंतरिक प्रयास तथा एक स्वतंत्र आंतरिक ऑडिटर की मदद से प्रमाणित होती हैं। सलाहकार काम तेज़ कर सकते हैं, पर ISMS हर हाल में आपकी अपनी होनी चाहिए।