ISO 27001 और ISO 31000 मानक किन देशों में साइबर सुरक्षा के लिए उपयोग होते हैं?

ISO 27001 और ISO 31000: वैश्विक अपनाने और प्रासंगिकता

महत्वपूर्ण: ISO मानक किसी विशिष्ट देश के लिए अनिवार्य नहीं हैं - ये अंतरराष्ट्रीय स्वैच्छिक मानक हैं जिन्हें कोई भी संगठन, किसी भी देश में अपना सकता है। हालांकि, कुछ देशों के नियम इन्हें अप्रत्यक्ष रूप से आवश्यक बनाते हैं।

ISO 27001 क्या है?

ISO/IEC 27001:2022 सूचना सुरक्षा प्रबंधन प्रणाली (ISMS) के लिए वैश्विक मानक है। यह संगठनों को सूचना संपत्तियों की गोपनीयता, अखंडता, उपलब्धता सुनिश्चित करने का ढांचा देता है। प्रमाणन तृतीय-पक्ष ऑडिटर द्वारा होता है।

ISO 31000 क्या है?

ISO 31000:2018 जोखिम प्रबंधन के लिए दिशानिर्देश देता है - सिद्धांत, फ्रेमवर्क, प्रक्रिया। यह किसी भी प्रकार के जोखिम (वित्तीय, सुरक्षा, परियोजना, परिचालन) पर लागू होता है। यह प्रमाणन योग्य नहीं है (दिशानिर्देश है, आवश्यकता नहीं)।

दोनों का संबंध

• ISO 27001 अपने खंड 6 (योजना) में जोखिम मूल्यांकन/उपचार के लिए ISO 31000 के सिद्धांतों का संदर्भ देता है।
• ISO 27005 सूचना सुरक्षा जोखिम प्रबंधन के लिए विशेष मार्गदर्शन देता है (ISO 31000 के अनुरूप)।
• ISO 27001 प्रमाणन के लिए ISO 31000 के अनुरूप जोखिम प्रक्रिया होना अपेक्षित है।

कौन से देश/क्षेत्र इन्हें व्यापक रूप से अपनाते हैं?

यूरोपीय संघ (EU) - सबसे मजबूत अपनाने वाला

• GDPR (जनरल डेटा प्रोटेक्शन रेगुलेशन) अनुच्छेद 32 में "उपयुक्त तकनीकी और संगठनात्मक उपाय" मांगता है - ISO 27001 अनुपालन का प्रमाण माना जाता है।
• NIS2 डायरेक्टिव महत्वपूर्ण संस्थाओं के लिए साइबर सुरक्षा जोखिम प्रबंधन अनिवार्य करता है - ISO 27001/31000 मानक दृष्टिकोण हैं।
• जर्मनी (BSI IT-Grundschutz), फ्रांस (ANSSI), नीदरलैंड, UK - सरकारी अनुबंधों के लिए ISO 27001 अक्सर आवश्यक।

उत्तरी अमेरिका

• USA: अनिवार्य नहीं, लेकिन NIST CSF, HIPAA, SOX, CMMC अनुपालन के लिए ISO 27001 मैप किया जाता है। सरकारी अनुबंधों (FedRAMP, CMMC) में मान्यता प्राप्त।
• कनाडा: PIPEDA, प्रांतीय गोपनीयता कानूनों के लिए ISO 27001 मान्य। सरकारी खरीद में वरीयता।

एशिया-प्रशांत

• जापान: ISMS मानक (JIS Q 27001) ISO 27001 के समान। सरकारी/बड़े उद्यम अनिवार्य करते हैं।
• सिंगापुर: PDPA, CSA साइबर सुरक्षा अधिनियम - महत्वपूर्ण सूचना अवसंरचना (CII) के लिए ISO 27001 अपेक्षित।
• ऑस्ट्रेलिया/न्यूजीलैंड: सरकारी एजेंसियों के लिए ISO 27001 अनिवार्य (ISM, PSPF फ्रेमवर्क के साथ मैप)।
• भारत: RBI, SEBI, IRDAI वित्तीय क्षेत्र के लिए ISO 27001 अनुशंसित/आवश्यक। MeitY सरकारी परियोजनाओं के लिए।
• चीन: MLPS 2.0 (साइबर सुरक्षा बहु-स्तरीय सुरक्षा योजना) - ISO 27001 मैपेबल।

मध्य पूर्व

• UAE (NESA/DESC), सऊदी अरब (NCA), कतर: महत्वपूर्ण अवसंरचना, सरकारी, वित्तीय क्षेत्र के लिए ISO 27001 अनिवार्य।

कौन से उद्योग सबसे ज्यादा अपनाते हैं?

• बैंकिंग/वित्त (नियामक दबाव)
• स्वास्थ्य सेवा (HIPAA, रोगी डेटा)
• आईटी/क्लाउड सेवाएं (ग्राहक विश्वास, अनुबंध आवश्यकता)
• सरकार/रक्षा
• दूरसंचार
• महत्वपूर्ण बुनियादी ढांचा (ऊर्जा, परिवहन)

ISO 27001 प्रमाणन प्रक्रिया

1. गैप विश्लेषण
2. ISMS दस्तावेजीकरण (नीतियां, प्रक्रियाएं, जोखिम उपचार योजना)
3. आंतरिक ऑडिट
4. प्रबंधन समीक्षा
5. चरण 1 ऑडिट (दस्तावेजी समीक्षा) - मान्यता प्राप्त प्रमाणन निकाय द्वारा
6. चरण 2 ऑडिट (कार्यान्वयन सत्यापन)
7. प्रमाणन जारी (3 साल वैध, वार्षिक निगरानी ऑडिट)

ISO 27001 बनाम अन्य मानक

निष्कर्ष: ISO 27001 और 31000 वैश्विक मानक हैं - किसी देश विशेष तक सीमित नहीं। 170+ देशों में संगठन इन्हें अपनाते हैं। नियामक आवश्यकताओं (GDPR, NIS2, HIPAA, RBI, आदि) के कारण अपनाना बढ़ रहा है।