ISO 27001 प्रमाणन कैसे प्राप्त करें

Paul Gillet के अनुसार · अपडेट किया गया 2026-10-17

ISO/IEC 27001 एक अंतरराष्ट्रीय मानक है जो सूचना सुरक्षा प्रबंधन प्रणाली (ISMS) से संबंधित है: यह बताता है कि कोई संगठन यह कैसे तय करता है कि कौन-से सुरक्षा जोखिम मायने रखते हैं, उनसे कैसे निपटता है, और निरंतर सुधार कैसे करता है। SOC 2 के विपरीत, इसका अंत एक प्रमाणपत्र के रूप में होता है, जो मान्यता प्राप्त प्रमाणन निकाय द्वारा जारी किया जाता है और तीन वर्षों के लिए वैध रहता है, बीच में निगरानी ऑडिट के साथ।

मानक की आवश्यकताएँ

• खंड 4–10 अनिवार्य हैं: संदर्भ और दायरा (4), नेतृत्व और नीति (5), जोखिम मूल्यांकन, जोखिम उपचार और उद्देश्य (6), संसाधन, दक्षता, जागरूकता, संचार और दस्तावेजीकृत सूचना (7), योजना का संचालन (8), निगरानी, आंतरिक ऑडिट और प्रबंधन समीक्षा (9), तथा सुधारात्मक कार्रवाई और सुधार (10)।
• परिशिष्ट A चार विषयों में 93 नियंत्रण सूचीबद्ध करता है: संगठनात्मक, लोग, भौतिक और तकनीकी। ये एक संदर्भ सेट हैं, चेकलिस्ट नहीं: आप जोखिम उपचार के माध्यम से नियंत्रण चुनते हैं, और हर समावेश व बहिष्करण को प्रयोज्यता का कथन (SoA) में उचित ठहराते हैं।

वर्तमान संस्करण ISO/IEC 27001:2022 है (2024 के संशोधन के साथ, जो संदर्भ खंडों में जलवायु परिवर्तन जोड़ता है)। 2013 संस्करण से संक्रमण 31 अक्टूबर 2025 को समाप्त हो गया, इसलिए अब हर वैध प्रमाणपत्र 2022 संस्करण के अनुसार है।

चरण

1. दायरा तय करें (4.3): संगठन के कौन-से हिस्से, कौन-से स्थान और कौन-सी सेवाएँ। ग्राहक आपके प्रमाणपत्र पर दायरा पढ़ते हैं, इसलिए सुनिश्चित करें कि उसमें वह सब शामिल हो जो वे खरीदते हैं।
2. नेतृत्व की प्रतिबद्धता प्राप्त करें (5): एक सूचना सुरक्षा नीति, निर्धारित भूमिकाएँ और उत्तरदायित्व, तथा संसाधन।
3. जोखिम मूल्यांकन की पद्धति परिभाषित करें और उसे चलाएँ (6.1.2): गोपनीयता, अखंडता और उपलब्धता के लिए जोखिमों की पहचान करें, उनके स्वामी, संभावना और प्रभाव के साथ।
4. जोखिमों से निपटें (6.1.3): नियंत्रण चुनें, उन्हें परिशिष्ट A से मिलाएँ, और SoA तथा जोखिम स्वामियों द्वारा अनुमोदित जोखिम उपचार योजना लिखें।
5. मापने योग्य सुरक्षा उद्देश्य तय करें (6.2) और यह योजना बनाएँ कि उन्हें कैसे प्राप्त करेंगे।
6. लागू करें और संचालित करें (7–8): नीतियाँ, प्रक्रियाएँ, प्रशिक्षण और जागरूकता, नियंत्रण, तथा उनके चलने का दस्तावेजीकृत साक्ष्य।
7. मापें और समीक्षा करें (9): ISMS की निगरानी करें, आंतरिक ऑडिट चलाएँ जिसे किए जा रहे कार्य से स्वतंत्र व्यक्ति करे, और प्रबंधन समीक्षा आयोजित करें।
8. जो मिले उसे ठीक करें (10): गैर-अनुरूपताएँ और सुधारात्मक कार्रवाइयाँ दर्ज करें।
9. चरण 1 ऑडिट: प्रमाणन निकाय आपके दस्तावेजों और तैयारी की समीक्षा करता है।
10. चरण 2 ऑडिट: प्रमाणन निकाय जाँचता है कि ISMS व्यवहार में काम करती है या नहीं। प्रमाणपत्र जारी होने से पहले बड़ी गैर-अनुरूपताएँ बंद होनी चाहिए।

प्रमाणन निकाय का चयन

ऐसे राष्ट्रीय मान्यता निकाय द्वारा ISO/IEC 27001 के लिए मान्यता प्राप्त निकाय का उपयोग करें जो International Accreditation Forum का सदस्य हो (जैसे UKAS, ANAB, DAkkS या JAS-ANZ), और जाँचें कि उसकी मान्यता आपके दायरे को कवर करती है। गैर-मान्यता प्राप्त निकायों के प्रमाणपत्र सस्ते होते हैं, पर अक्सर ग्राहकों द्वारा अस्वीकार कर दिए जाते हैं।

सामान्य समयसीमा

कई छोटे और मध्यम आकार के संगठनों को शुरुआत से प्रमाणपत्र तक छह से बारह महीने लगते हैं। चरण 2 से पहले ISMS को वास्तविक रिकॉर्ड बनाने के लिए पर्याप्त समय तक चलना चाहिए: कम से कम एक आंतरिक ऑडिट, एक प्रबंधन समीक्षा, और इस बात का साक्ष्य कि नियंत्रण काम करते हैं। प्रमाणन के बाद, पहले और दूसरे वर्ष में निगरानी ऑडिट और तीसरे वर्ष में पुनः प्रमाणन ऑडिट की अपेक्षा करें।

ऑडिटर जिन साक्ष्यों की तलाश करते हैं

• दायरा, सुरक्षा नीति और उद्देश्य, मापों के साथ;
• जोखिम मूल्यांकन की पद्धति, जोखिम रजिस्टर और जोखिम उपचार योजना;
• प्रयोज्यता का कथन (SoA), उचित ठहराव के साथ;
• दक्षता और प्रशिक्षण के रिकॉर्ड;
• आंतरिक ऑडिट रिपोर्ट और प्रबंधन समीक्षा के कार्यवृत्त;
• गैर-अनुरूपता और सुधारात्मक कार्रवाई के लॉग;
• आपके चुने हुए नियंत्रणों के परिचालन रिकॉर्ड: पहुँच समीक्षाएँ, परिवर्तन रिकॉर्ड, आपूर्तिकर्ता मूल्यांकन, घटना लॉग, बैकअप।

वे बातें जो लोगों को उलझा देती हैं

• टेम्पलेट जोखिम मूल्यांकन: ऑडिटर पूछते हैं कि आपके जोखिम कैसे पहचाने गए और हर नियंत्रण क्यों चुना गया। बिना स्वामियों वाली सामान्य सूची यह जाँच विफल कर देती है।
• अनुचित SoA बहिष्करण: किसी नियंत्रण को बाहर रखने के लिए आपके जोखिमों या दायरे से जुड़ा कारण चाहिए।
• आंतरिक ऑडिट की स्वतंत्रता: जिसने ISMS बनाई है, उसे अपने ही काम का ऑडिट नहीं करना चाहिए।
• बहुत संकीर्ण दायरा जो मदद न करे: केवल एक कार्यालय को कवर करने वाला प्रमाणपत्र उस ग्राहक को संतुष्ट नहीं करेगा जो आपकी क्लाउड सेवा खरीद रहा है।

यह साइट कैसे मदद करती है

ControlMapping हर परिशिष्ट A नियंत्रण और ISMS खंड को दस अन्य फ़्रेमवर्क में उनके समकक्षों के साथ सूचीबद्ध करता है। परिशिष्ट A के NIST CSF 2.0 और SP 800-53 से लिंक प्रकाशित क्रॉसवॉक से आते हैं; नियंत्रण का पाठ ISO का कॉपीराइट है, इसलिए हम केवल शीर्षक दिखाते हैं। यदि आप पहले से SOC 2, NIST या NIS2 का पालन करते हैं, तो नीचे की तालिका और गैप विश्लेषण दिखाते हैं कि क्या आगे ले जाया जा सकता है। खंड 4–10 वाली प्रबंधन प्रणाली आमतौर पर सबसे बड़ा नया काम होता है।

क्या आपके पास पहले से कोई और फ़्रेमवर्क है?

ISO 27001 की कितनी आवश्यकताएँ उन फ़्रेमवर्क से मैप होती हैं जिन्हें आप पहले से मानते हो सकते हैं। आवश्यकता-दर-आवश्यकता सूची के लिए गैप रिपोर्ट खोलें।

क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · ढीले तौर पर संबंधित केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. गिनती उसी डेटा से आती है जिससे गैप विश्लेषण बनता है; मैपिंग का अर्थ है संबंधित आवश्यकताएँ, इस बात का प्रमाण नहीं कि एक दूसरे को संतुष्ट करती है।

प्रश्न

ISO 27001 प्रमाणपत्र कितने समय तक वैध है?

तीन वर्ष, बशर्ते वार्षिक निगरानी ऑडिट उत्तीर्ण हों। समाप्ति से पहले पुनः प्रमाणन ऑडिट होना आवश्यक है।

क्या हमें परिशिष्ट A के सभी 93 नियंत्रण लागू करने होंगे?

नहीं। आप जोखिम उपचार के माध्यम से नियंत्रण चुनते हैं और प्रयोज्यता के कथन में हर समावेश और बहिष्करण को उचित ठहराते हैं।

क्या ISO 27001 या SOC 2 बेहतर है?

कोई भी बेहतर नहीं है; ग्राहक अलग-अलग चीजें माँगते हैं। ISO 27001 एक अंतरराष्ट्रीय स्तर पर मान्यता प्राप्त प्रमाणपत्र है; SOC 2 अमेरिकी शैली की आश्वासन रिपोर्ट है। देखें ISO 27001 बनाम SOC 2।

यह कानूनी या अनुपालन सलाह नहीं है। इस पर भरोसा करने से पहले आधिकारिक पाठ और अपने ऑडिटर, मूल्यांकनकर्ता या नियामक से जाँच लें।