संदर्भ पाठ के आधार पर, ISO 27001 प्रमाणन के तीन चरणों और प्रत्येक चरण की गतिविधियों की बुलेटेड सूची प्रदान करें।SO/IEC 27001 सूचना सुरक्षा के प्रबंधन के लिए एक अंतरराष्ट्रीय मानक है। मानक मूल रूप से 2005 में अंतर्राष्ट्रीय संगठन मानकीकरण (आईएसओ) और अंतर्राष्ट्रीय इलेक्ट्रोटेक्निकल कमीशन (आईईसी) द्वारा संयुक्त रूप से प्रकाशित किया गया था, [1] 2013 में संशोधित किया गया था, [2] और फिर हाल ही में 2022 में। [3] मानक के कई मान्यता प्राप्त राष्ट्रीय संस्करण भी हैं। यह सूचना सुरक्षा प्रबंधन प्रणाली (ISMS) की स्थापना, कार्यान्वयन, रखरखाव और लगातार सुधार के लिए आवश्यकताओं का विवरण देता है - जिसका उद्देश्य संगठनों को सूचना संपत्ति बनाने में मदद करना है जो वे अधिक सुरक्षित रखते हैं। [4] मानक की आवश्यकताओं को पूरा करने वाले संगठन ऑडिट के सफल समापन के बाद एक मान्यता प्राप्त प्रमाणन निकाय द्वारा प्रमाणित होना चुन सकते हैं। ISO/IEC 27001 प्रमाणन प्रक्रिया की प्रभावशीलता और समग्र मानक को 2020 में बड़े पैमाने पर किए गए अध्ययन में संबोधित किया गया है। [5]

मानक कैसे काम करता है
अधिकांश संगठनों के पास कई सूचना सुरक्षा नियंत्रण होते हैं। हालांकि, सूचना सुरक्षा प्रबंधन प्रणाली (ISMS) के बिना, नियंत्रण कुछ हद तक असंगठित और असंबद्ध होते हैं, जिन्हें अक्सर विशिष्ट स्थितियों के बिंदु समाधान के रूप में या केवल सम्मेलन के रूप में लागू किया जाता है। ऑपरेशन में सुरक्षा नियंत्रण आमतौर पर सूचना प्रौद्योगिकी (आईटी) या डेटा सुरक्षा के कुछ पहलुओं को विशेष रूप से संबोधित करते हैं; गैर-आईटी सूचना संपत्तियों (जैसे कागजी कार्रवाई और मालिकाना ज्ञान) को पूरी तरह से कम सुरक्षित छोड़ना। इसके अलावा, व्यापार निरंतरता योजना और भौतिक सुरक्षा को आईटी या सूचना सुरक्षा से काफी स्वतंत्र रूप से प्रबंधित किया जा सकता है, जबकि मानव संसाधन प्रथाएं पूरे संगठन में सूचना सुरक्षा भूमिकाओं और जिम्मेदारियों को परिभाषित करने और सौंपने की आवश्यकता का बहुत कम संदर्भ दे सकती हैं।

ISO/IEC 27001 के लिए आवश्यक है कि प्रबंधन:

खतरों, कमजोरियों और प्रभावों को ध्यान में रखते हुए संगठन के सूचना सुरक्षा जोखिमों की व्यवस्थित रूप से जांच करें;
अस्वीकार्य समझे जाने वाले जोखिमों को दूर करने के लिए सूचना सुरक्षा नियंत्रणों और/या जोखिम उपचार के अन्य रूपों (जैसे जोखिम से बचाव या जोखिम हस्तांतरण) के एक सुसंगत और व्यापक सूट को डिजाइन और कार्यान्वित करना; और
यह सुनिश्चित करने के लिए एक व्यापक प्रबंधन प्रक्रिया अपनाएं कि सूचना सुरक्षा नियंत्रण निरंतर आधार पर संगठन की सूचना सुरक्षा आवश्यकताओं को पूरा करते रहें।
ISO/IEC 27001 के प्रमाणन के भाग के रूप में किन नियंत्रणों का परीक्षण किया जाएगा, यह प्रमाणन लेखा परीक्षक पर निर्भर है। इसमें कोई भी नियंत्रण शामिल हो सकता है जिसे संगठन ने ISMS के दायरे में माना है और यह परीक्षण किसी भी गहराई या सीमा तक हो सकता है जैसा कि ऑडिटर द्वारा मूल्यांकन किया गया है कि नियंत्रण लागू किया गया है और प्रभावी ढंग से काम कर रहा है।

प्रबंधन प्रमाणन उद्देश्यों के लिए ISMS का दायरा निर्धारित करता है और इसे एक एकल व्यवसाय इकाई या स्थान तक सीमित कर सकता है। ISO/IEC 27001 प्रमाणपत्र का मतलब यह नहीं है कि दायरे वाले क्षेत्र के बाहर संगठन के शेष हिस्से के पास सूचना सुरक्षा प्रबंधन के लिए पर्याप्त दृष्टिकोण है।

ISO/IEC 27000 परिवार के मानकों में अन्य मानक ISMS के डिजाइन, कार्यान्वयन और संचालन के कुछ पहलुओं पर अतिरिक्त मार्गदर्शन प्रदान करते हैं, उदाहरण के लिए सूचना सुरक्षा जोखिम प्रबंधन (ISO/IEC 27005) पर।

आईएसओ/आईईसी 27001 का इतिहास
बीएस 7799 मूल रूप से 1995 में बीएसआई समूह [6] द्वारा प्रकाशित एक मानक था। यह यूके सरकार के व्यापार और उद्योग विभाग (डीटीआई) द्वारा लिखा गया था और इसमें कई भाग शामिल थे।

सूचना सुरक्षा प्रबंधन के लिए सर्वोत्तम प्रथाओं वाले पहले भाग को 1998 में संशोधित किया गया था; विश्वव्यापी मानक निकायों में एक लंबी चर्चा के बाद, अंततः इसे ISO द्वारा ISO/IEC 17799, "सूचना प्रौद्योगिकी - सूचना सुरक्षा प्रबंधन के लिए अभ्यास संहिता" के रूप में अपनाया गया। 2000 में। आईएसओ/आईईसी 17799 को जून 2005 में संशोधित किया गया था और अंत में जुलाई 2007 में आईएसओ/आईईसी 27002 के रूप में मानकों की आईएसओ 27000 श्रृंखला में शामिल किया गया था।

BS7799 का दूसरा भाग पहली बार 1999 में BSI द्वारा प्रकाशित किया गया था, जिसे BS 7799 भाग 2 के रूप में जाना जाता है, जिसका शीर्षक "सूचना सुरक्षा प्रबंधन प्रणाली - उपयोग के लिए मार्गदर्शन के साथ विशिष्टता" है। बीएस 7799-2 ने बीएस 7799-2 में पहचाने गए सूचना सुरक्षा प्रबंधन ढांचे और नियंत्रणों का जिक्र करते हुए सूचना सुरक्षा प्रबंधन प्रणाली (आईएसएमएस) को लागू करने के तरीके पर ध्यान केंद्रित किया। यह बाद में ISO/IEC 27001:2005 बन गया। बीएस 7799 भाग 2 को आईएसओ द्वारा नवंबर 2005 में आईएसओ/आईईसी 27001 के रूप में अपनाया गया था।

बीएस 7799 भाग 3 को 2005 में प्रकाशित किया गया था, जिसमें जोखिम विश्लेषण और प्रबंधन शामिल था। यह ISO/IEC 27001:2005 के अनुरूप है।

ISO/IEC 27001 के संबंध में किसी भी BS मानक का बहुत कम संदर्भ या उपयोग किया गया है।

प्रमाणीकरण
एक ISMS को दुनिया भर में कई मान्यता प्राप्त रजिस्ट्रारों द्वारा ISO/IEC 27001 मानक के अनुरूप प्रमाणित किया जा सकता है। [7] आईएसओ/आईईसी 27001 के किसी भी मान्यता प्राप्त राष्ट्रीय वेरिएंट के खिलाफ प्रमाणन (जैसे जेआईएस क्यू 27001, जापानी संस्करण) एक मान्यता प्राप्त प्रमाणन निकाय द्वारा कार्यात्मक रूप से आईएसओ/आईईसी 27001 के खिलाफ प्रमाणीकरण के बराबर है।

कुछ देशों में, निर्दिष्ट मानकों के लिए प्रबंधन प्रणालियों की अनुरूपता को सत्यापित करने वाले निकायों को "प्रमाणन निकाय" कहा जाता है, जबकि अन्य में उन्हें आमतौर पर "पंजीकरण निकाय", "मूल्यांकन और पंजीकरण निकाय", "प्रमाणन/पंजीकरण निकाय" कहा जाता है। और कभी-कभी "रजिस्ट्रार"।

ISO/IEC 27001 प्रमाणीकरण, अन्य ISO प्रबंधन प्रणाली प्रमाणन की तरह, आमतौर पर ISO/IEC 17021[8] और ISO/IEC 27006[9] मानकों द्वारा परिभाषित तीन-चरण की बाहरी ऑडिट प्रक्रिया शामिल है:

चरण 1 ISMS की प्रारंभिक, अनौपचारिक समीक्षा है। उदाहरण के लिए प्रमुख दस्तावेजों की मौजूदगी और पूर्णता के लिए जांच होती है, जैसे कि संगठन की सूचना सुरक्षा नीति, प्रयोज्यता का विवरण (एसओए) और जोखिम उपचार योजना (आरटीपी)। यह चरण लेखापरीक्षकों को संगठन और इसके विपरीत से परिचित कराने का कार्य करता है।
चरण 2 एक अधिक विस्तृत और औपचारिक अनुपालन ऑडिट है, जो स्वतंत्र रूप से ISO/IEC 27001 में निर्दिष्ट आवश्यकताओं के विरुद्ध ISMS का परीक्षण करता है। उदाहरण के लिए यह पुष्टि करके कि एक सुरक्षा समिति या समान प्रबंधन निकाय ISMS की निगरानी के लिए नियमित रूप से मिलते हैं)। प्रमाणन ऑडिट आमतौर पर ISO/IEC 27001 लीड ऑडिटर्स द्वारा आयोजित किए जाते हैं। इस चरण को पास करने से ISMS ISO/IEC 27001 के अनुरूप प्रमाणित हो जाता है।
चल रहे में यह पुष्टि करने के लिए अनुवर्ती समीक्षाएं या ऑडिट शामिल हैं कि संगठन मानक के अनुपालन में रहता है। प्रमाणन रखरखाव के लिए समय-समय पर पुनर्मूल्यांकन ऑडिट की आवश्यकता होती है ताकि यह पुष्टि की जा सके कि ISMS निर्दिष्ट और इच्छित के रूप में काम करना जारी रखता है। ये कम से कम सालाना होने चाहिए लेकिन (प्रबंधन के साथ समझौते से) अक्सर अधिक बार आयोजित किए जाते हैं, खासकर जब आईएसएमएस अभी भी परिपक्व हो रहा है।
ISO 27001 प्रमाणन प्रक्रिया तीन चरणों से गुजरती ह