01मानक क्या माँगता है

ISO/IEC 27001:2022 में आकलन के दो हिस्से हैं। क्लॉज़ 4 से 10 मैनेजमेंट सिस्टम की ज़रूरतें तय करते हैं: दायरा, नेतृत्व, जोखिम आकलन और उपचार, सहायता, संचालन, निगरानी और सुधार। Annex A चार थीम में 93 कंट्रोल देता है: संगठनात्मक (37), लोग (8), भौतिक (14) और तकनीकी (34)। कौन से कंट्रोल लागू होंगे, यह आप अपने Statement of Applicability (SoA) में तय करते हैं।

2024 के एक संशोधन ने यह ज़रूरत जोड़ी कि आप सोचें कि जलवायु परिवर्तन आपके संदर्भ (क्लॉज़ 4.1) और संबंधित पक्षों (4.2) के लिए प्रासंगिक मुद्दा है या नहीं।

02गैप विश्लेषण कैसे करें

• ISMS का दायरा और सीमाएँ तय करें।
• क्लॉज़ 4–10 की हर ज़रूरत जाँचें और सबूत के साथ रेटिंग दें।
• अपना जोखिम आकलन तरीक़ा देखें और यह कि मौजूदा जोखिम रजिस्टर है या नहीं।
• Annex A कंट्रोल देखें और SoA तैयार या अपडेट करें।
• गैप को प्राथमिकता वाली उपचार योजना में बदलें, ज़िम्मेदार व्यक्ति और तारीखों के साथ।

03आम गैप

• 6.1.2–6.1.3: दोहराने लायक जोखिम आकलन नहीं, या जोखिम कंट्रोल से नहीं जुड़े।
• SoA में बाहर रखे कंट्रोल का औचित्य नहीं।
• 7.5: दर्ज जानकारी नियंत्रित नहीं।
• 9.2–9.3: आंतरिक ऑडिट कार्यक्रम या मैनेजमेंट समीक्षा नहीं।
• Annex A 5.23 (क्लाउड सेवाएँ) और 8.28 (सुरक्षित कोडिंग), दोनों 2022 संस्करण में जुड़े, पर ध्यान नहीं दिया गया।

04यहाँ निजी टूल क्यों ज़रूरी है

सिक्योरिटी गैप विश्लेषण ख़ुद संवेदनशील होता है: उसमें आपकी कमज़ोरियाँ दर्ज होती हैं। Paperwing का गैप आकलन आपके ब्राउज़र में चलता है और सब कुछ लोकल सेव करता है, इसलिए आपके निष्कर्ष कभी अपलोड नहीं होते। आप रिपोर्ट और एन्क्रिप्टेड बैकअप एक्सपोर्ट कर सकते हैं।

अक्सर पूछे जाने वाले सवाल

ISO गैप विश्लेषण गाइड

• ISO 9001 गैप विश्लेषण
• ISO 14001 गैप विश्लेषण
• ISO 45001 गैप विश्लेषण