गैप रिपोर्ट से प्रोजेक्ट प्लान तक: स्वामी, साक्ष्य और समय-सीमाएँ

गैप विश्लेषण चलाना सबसे आसान हिस्सा है। हमारी चरण-दर-चरण गाइड आपको एक ट्रैकर तक ले जाती है जिसमें हर अधूरी आवश्यकता सूचीबद्ध होती है। इसके बाद क्या होता है, यही तय करता है कि प्रोग्राम सफल होगा या नहीं: बहुत से ट्रैकर लंबी स्प्रेडशीट बनकर रह जाते हैं, जिनकी पंक्तियों पर "पूरा नहीं हुआ" लिखा होता है और जिनका कोई स्वामी नहीं होता।

चरण 1: पंक्तियों को कार्य-धाराओं में समूहित करें

आवश्यकताएँ फ़्रेमवर्क के तर्क के अनुसार क्रमांकित होती हैं, आपके तर्क के अनुसार नहीं। अधूरी पंक्तियों को उन्हें ठीक करने के तरीके के आधार पर फिर से समूहित करें:

• शासन और नीति (दायरा, भूमिकाएँ, नीतियाँ, प्रबंधन की मंज़ूरी)
• पहचान और पहुँच
• भेद्यता और पैच प्रबंधन
• लॉगिंग और निगरानी
• घटना प्रतिक्रिया और रिपोर्टिंग
• आपूर्तिकर्ता प्रबंधन
• व्यवसाय निरंतरता और बैकअप
• सुरक्षित विकास
• भौतिक सुरक्षा

अक्सर एक कार्य-धारा दस या बीस पंक्तियाँ बंद कर देती है। उदाहरण के लिए, आपूर्तिकर्ता सुरक्षा शर्तों को अनुबंधों में लिखने से ISO 27001, PCI DSS, GDPR और NIS2 की आवश्यकताएँ एक साथ पूरी हो सकती हैं।

चरण 2: निर्भरता और जोखिम के आधार पर क्रम तय करें

1. पहले अवरोध हटाने वाले काम: दायरा, शासन, नीति और जोखिम आकलन। इनके बिना तकनीकी काम दोबारा करना पड़ता है।
2. फिर उच्च-जोखिम वाली कमियाँ: MFA के बिना उजागर सिस्टम, बिना पैच की इंटरनेट-फेसिंग सेवाएँ, बिना परीक्षण वाले बैकअप।
3. फिर बाकी काम, जिसमें दस्तावेज़ीकरण और साक्ष्य संग्रह अंत में नहीं, बल्कि साथ-साथ चलें।

चरण 3: ईमानदारी से अनुमान लगाएँ

हर कार्य-धारा के लिए बताएँ: काम क्या है, इसे कौन करेगा, कितना समय लगेगा और इसकी लागत क्या होगी (लोग, उपकरण, बाहरी सहायता)। छिपी हुई लागत आमतौर पर नियंत्रण को बाद में चलाने में होती है (त्रैमासिक समीक्षा का मतलब है साल में चार बैठकें, हमेशा के लिए), न कि उसे स्थापित करने में।

चरण 4: ऐसे स्वामी नियुक्त करें जो नियंत्रण को चलाएँगे

सुधार कार्य का स्वामी वही व्यक्ति होना चाहिए जो बाद में नियंत्रण संचालित करेगा: पैचिंग के लिए IT प्रबंधक, आपूर्तिकर्ता अनुबंधों के लिए खरीद विभाग, स्क्रीनिंग के लिए HR। अनुपालन लीड समन्वय करता है, साक्ष्य की जाँच करता है और प्रगति की रिपोर्ट देता है, लेकिन वह सब कुछ अपने पास नहीं रख सकता।

चरण 5: "पूरा" की परिभाषा साक्ष्य के रूप में तय करें

कोई कार्य तब पूरा माना जाता है जब नियंत्रण चलता है और साक्ष्य भी देता है: पहली एक्सेस समीक्षा पर हस्ताक्षर, पहले रिस्टोर परीक्षण का रिकॉर्ड, नीति की स्वीकृति और संचार। काम के साथ-साथ ट्रैकर में साक्ष्य का संदर्भ दर्ज करते जाएँ; ऑडिट के समय यही ट्रैकर आपकी साक्ष्य सूची बन जाता है।

एक कार्य उदाहरण

मान लीजिए ISO 27001 प्रमाणित कंपनी को NIS2 की आवश्यकता है। ISO 27001 → NIS2 गैप रिपोर्ट हर NIS2 बिंदु को ISO के किसी हिस्से से जोड़ती है, लेकिन वास्तविकता से मिलान करने पर लगभग एक दर्जन बिंदु केवल आंशिक रूप से पूरे पाए जाते हैं। सुधार के आधार पर समूहित करने पर वे चार कार्य-धाराओं में सिमट जाते हैं:

• शासन: उपायों की प्रबंधन स्वीकृति और प्रबंधन प्रशिक्षण (एक बोर्ड सत्र, एक प्रशिक्षण कोर्स, रिकॉर्ड किया हुआ)।
• रिपोर्टिंग: 24 और 72 घंटे की समय-सीमा वाली एक महत्वपूर्ण घटना प्रक्रिया, टेम्पलेट और एक अभ्यास।
• आपूर्तिकर्ता: चयन मानदंड, अनुबंध खंड और शीर्ष 20 आपूर्तिकर्ताओं की समीक्षा।
• तकनीकी गहराई: भेद्यता प्रकटीकरण, क्रिप्टोग्राफ़ी नीति और प्रभावशीलता मेट्रिक्स।

चार स्वामी, चार योजनाएँ, हर एक की तारीख और साक्ष्य सूची के साथ, बजाय एक दर्जन असंबंधित पंक्तियों के। शासन और रिपोर्टिंग पहले होते हैं क्योंकि पर्यवेक्षक सबसे पहले इन्हीं के बारे में पूछेंगे; तकनीकी गहराई अगली तिमाही में आती है।

मुख्य बातें

• अधूरी आवश्यकताओं को आवश्यकता-संख्या के बजाय उन्हें ठीक करने के तरीके के आधार पर समूहित करें।
• पहले शासन, दायरा और नीति का काम करें; ये बाकी सब कुछ आगे बढ़ने देते हैं।
• हर कार्य-धारा का स्वामी ऐसे व्यक्ति को बनाएँ जो बाद में नियंत्रण चलाएगा।
• "पूरा" की परिभाषा ऐसी रखें कि नियंत्रण चले और साक्ष्य दे।

चरण 6: प्रगति को सरलता से रिपोर्ट करें

नेतृत्व को तीन संख्याएँ चाहिए: कार्य-धारा के अनुसार पूरी, प्रगति में और शुरू न हुई आवश्यकताएँ, साथ ही वे जोखिम जो देर से चल रहे हैं। गैप विश्लेषण समय-समय पर दोबारा चलाएँ; जब यह लाइव डेटा से गणना होता है, जैसा हमारा होता है, तो जैसे-जैसे आप कमियाँ बंद करते हैं और फ़्रेमवर्क बदलते हैं, कवरेज के आँकड़े भी बदलते हैं।

शुरुआती बिंदु के लिए, अपने मौजूदा और ज़रूरी फ़्रेमवर्क के बीच गैप विश्लेषण चलाएँ और उसे निर्यात करें। तुलनाएँ दोनों दिशाओं में सबसे आम जोड़े दिखाती हैं।

प्रश्न

अनुपालन गैप को प्राथमिकता कैसे दी जानी चाहिए?

जोखिम और निर्भरता के आधार पर: पहले वे गैप जो दूसरों को रोकते हैं (शासन, दायरा, नीति), फिर उच्च-जोखिम वाले तकनीकी गैप, फिर दस्तावेज़ीकरण और साक्ष्य। आवश्यकता-क्रमांकन क्रम तय करने का खराब मार्गदर्शक है।

अनुपालन सुधार कार्यों का स्वामी किसे होना चाहिए?

वे लोग जो बाद में नियंत्रण चलाएँगे, न कि अनुपालन टीम। अनुपालन समन्वय करता है और साक्ष्य की जाँच करता है; नियंत्रण के स्वामी काम पूरा करते हैं।

अनुपालन प्रोजेक्ट प्लान कितना विस्तृत होना चाहिए?

इतना विस्तृत कि हर कार्य-धारा का एक स्वामी, एक परिणाम, एक तारीख और एक साक्ष्य सूची हो। आवश्यकता-स्तर का विवरण ट्रैकर में रहता है; प्लान एक या दो पन्नों में आ जाना चाहिए।