आयएसओ 27001 प्रमाणपत्राचे तीन टप्पे खालीलप्रमाणे आहेतः १. पहिला टप्पा: माहिती सुरक्षा व्यवस्थापन प्रणालीचा प्राथमिक अनौपचारिक आढावा. प्राथमिक दस्तऐवजांचे अस्तित्व आणि पूर्णता यांची तपासणी करणे हे या उपक्रमांमध्ये समाविष्ट आहे. २. टप्पा 2: आयएसओ 27001 मध्ये नमूद केलेल्या आवश्यकतांची योग्य अंमलबजावणी करण्यासाठी तृतीय पक्षाद्वारे केलेले तपशीलवार आणि औपचारिक ऑडिट ३. चालू आहे: आयएसओ 27001 च्या गरजांची निरंतर पूर्तता सुनिश्चित करण्यासाठी पाठपुरावा आढावा आणि ऑडिट.
संदर्भ मजकूराच्या आधारे आयएसओ 27001 प्रमाणन आणि प्रत्येक टप्प्यातील उपक्रमांची तीन टप्प्यांची बुलेट केलेली यादी द्या.
Context:एसओ/आयईसी २७००१ हे माहिती सुरक्षेचे व्यवस्थापन करण्यासाठी आंतरराष्ट्रीय मानक आहे. आंतरराष्ट्रीय मानक संघटना (आयएसओ) आणि आंतरराष्ट्रीय इलेक्ट्रोटेक्निकल कमिशन (आयईसी) यांनी 2005 मध्ये संयुक्तपणे हे मानक प्रकाशित केले होते, 2013 मध्ये त्याचे पुनरावलोकन केले गेले आणि पुन्हा अलीकडेच 2022 मध्ये. या मानकाचे अनेक मान्यताप्राप्त राष्ट्रीय रूप देखील आहेत. माहिती सुरक्षा व्यवस्थापन प्रणाली (आयएसएमएस) <unk>ची स्थापना, अंमलबजावणी, देखभाल आणि सतत सुधारणा करण्याच्या आवश्यकता यामध्ये तपशीलवार आहेत ज्याचा उद्देश संस्थांना त्यांच्याकडे असलेल्या माहितीची मालमत्ता अधिक सुरक्षित करण्यात मदत करणे आहे. या मानकाची आवश्यकता पूर्ण करणाऱ्या संस्थांना ऑडिट यशस्वीपणे पूर्ण झाल्यानंतर मान्यताप्राप्त प्रमाणन संस्थेद्वारे प्रमाणन देणे निवडता येते. आयएसओ/आयईसी 27001 प्रमाणन प्रक्रिया आणि एकूणच मानकाची प्रभावीता 2020 मध्ये आयोजित केलेल्या मोठ्या प्रमाणात अभ्यासात हाताळली गेली आहे.  मानक कसे कार्य करते बहुतेक संस्थांमध्ये माहिती सुरक्षा नियंत्रणाची संख्या असते. मात्र, माहिती सुरक्षा व्यवस्थापन प्रणाली (आयएसएमएस) नसताना, नियंत्रणे थोडीशी अव्यवस्थित आणि विस्कळीत असतात, ज्याची अंमलबजावणी अनेकदा विशिष्ट परिस्थितीसाठी किंवा फक्त एक परंपरा म्हणून केली जाते. ऑपरेशनमधील सुरक्षा नियंत्रणे सामान्यतः माहिती तंत्रज्ञान (आयटी) किंवा डेटा सुरक्षिततेच्या विशिष्ट बाबींकडे लक्ष देतात; नॉन-आयटी माहिती मालमत्ता (जसे की कागदपत्रे आणि मालकीचे ज्ञान) एकूणच कमी संरक्षित ठेवतात. याव्यतिरिक्त, व्यवसाय सातत्य नियोजन आणि भौतिक सुरक्षा आयटी किंवा माहिती सुरक्षिततेपासून पूर्णपणे स्वतंत्रपणे व्यवस्थापित केली जाऊ शकते तर मानव संसाधन पद्धती संपूर्ण संस्थेत माहिती सुरक्षा भूमिका आणि जबाबदा define्या परिभाषित आणि नियुक्त करण्याची आवश्यकता कमी संदर्भित करू शकतात.  आयएसओ/आयईसी २७००१ नुसार व्यवस्थापनाने पुढील गोष्टी करणे आवश्यक आहे:  धमक्या, कमकुवतपणा आणि परिणाम लक्षात घेऊन संघटनेच्या माहिती सुरक्षेच्या जोखमींची पद्धतशीरपणे तपासणी करणे. माहिती सुरक्षा नियंत्रणे आणि/किंवा जोखीम हाताळणीचे इतर प्रकार (जसे की जोखीम टाळणे किंवा जोखीम हस्तांतरण) यांचा एक सुसंगत आणि सर्वसमावेशक संच तयार करणे आणि अंमलबजावणी करणे जेणेकरून त्या जोखीम ज्यांना अस्वीकार्य मानले जाते त्यांना सामोरे जावे; आणि माहिती सुरक्षा नियंत्रणे सतत आधारावर संस्थेच्या माहिती सुरक्षा गरजा पूर्ण करण्यासाठी एक आच्छादित व्यवस्थापन प्रक्रिया अवलंब करा. आयएसओ/आयईसी 27001 च्या प्रमाणन प्रक्रियेचा भाग म्हणून कोणत्या नियंत्रणाची चाचणी केली जाईल हे प्रमाणन लेखापरीक्षकावर अवलंबून आहे. यामध्ये कोणत्याही नियंत्रणाचा समावेश असू शकतो ज्याला संस्थेने आयएसएमएसच्या व्याप्तीमध्ये मानले आहे आणि ही चाचणी कोणत्याही सखोलतेपर्यंत किंवा प्रमाणात असू शकते जसे की लेखा परीक्षकाद्वारे आवश्यकतेनुसार नियंत्रण लागू केले गेले आहे आणि प्रभावीपणे कार्यरत आहे हे तपासण्यासाठी आवश्यक आहे.  आयएसएमएसची व्याप्ती व्यवस्थापनाद्वारेच निश्चित केली जाते आणि ती एका व्यवसायाच्या युनिट किंवा स्थानावर मर्यादित केली जाते. आयएसओ/आयईसी २७००१ प्रमाणपत्राचा अर्थ असा नाही की संस्थेच्या उर्वरित भागात, व्याप्ती क्षेत्राबाहेर, माहिती सुरक्षा व्यवस्थापनासाठी पुरेसा दृष्टीकोन आहे.  आयएसएमएसच्या डिझाईन, अंमलबजावणी आणि ऑपरेशनच्या काही पैलूंवर आयएसएमएसच्या आयएसएमएस 27000 कुटुंबातील इतर मानके अतिरिक्त मार्गदर्शन प्रदान करतात, उदाहरणार्थ माहिती सुरक्षा जोखीम व्यवस्थापनावर (आयएसओ / आयईसी 27005).  आयएसओ/आयईसी 27001 चा इतिहास बीएस ७७९९ हा मूलतः बीएसआय ग्रुपने १९९५ मध्ये प्रकाशित केलेला एक मानक होता. यूके सरकारच्या व्यापार आणि उद्योग विभागाने (डीटीआय) हे पत्र लिहिले होते आणि त्यात अनेक भाग होते.  माहिती सुरक्षेच्या व्यवस्थापनासाठी सर्वोत्तम पद्धतींचा समावेश असलेला पहिला भाग १९९८ मध्ये सुधारित करण्यात आला होता. जागतिक स्तरावरील मानक संस्थांमध्ये दीर्घ चर्चेनंतर, तो शेवटी आयएसओने आयएसओ/आयईसी १७७९९, "इन्फॉर्मेशन टेक्नॉलॉजी - माहिती सुरक्षेच्या व्यवस्थापनासाठी आचारसंहिता" म्हणून २००० मध्ये स्वीकारला. ISO/IEC 17799 नंतर जून 2005 मध्ये सुधारित करण्यात आले आणि शेवटी जुलै 2007 मध्ये ISO/IEC 27002 म्हणून मानकांच्या ISO 27000 मालिकेमध्ये समाविष्ट करण्यात आले.  बीएस ७७९९ चा दुसरा भाग प्रथम बीएसआयने १९९९ मध्ये प्रकाशित केला होता, ज्याला बीएस ७७९९ भाग २ म्हणून ओळखले जाते, ज्याचे शीर्षक "इन्फॉर्मेशन सिक्युरिटी मॅनेजमेंट सिस्टम्स - स्पेसिफिकेशन विथ गाइड फॉर यूज" असे आहे. बीएस 7799-2 मध्ये ओळखल्या गेलेल्या माहिती सुरक्षा व्यवस्थापन संरचना आणि नियंत्रणांचा संदर्भ घेऊन माहिती सुरक्षा व्यवस्थापन प्रणाली (आयएसएमएस) कशी लागू करावी यावर लक्ष केंद्रित केले. नंतर हे आयएसओ/आयईसी 27001:2005 झाले. बीएस 7799 भाग 2 नोव्हेंबर 2005 मध्ये आयएसओने आयएसओ/आयईसी 27001 म्हणून स्वीकारला होता.  बीएस 7799 भाग 3 2005 मध्ये प्रकाशित झाला होता, जो जोखीम विश्लेषण आणि व्यवस्थापनाचा समावेश करतो. ते आयएसओ/आयईसी 27001:2005 नुसार आहे.  आयएसओ/आयईसी २७००१ च्या संदर्भात कोणत्याही बीएस मानकांचा फार कमी संदर्भ किंवा वापर केला जातो.  प्रमाणपत्रे आयएसएमएसला आयएसओ/आयईसी 27001 मानकांचे प्रमाणपत्र जगभरातील अनेक मान्यताप्राप्त रजिस्ट्रारद्वारे दिले जाऊ शकते. ISO/IEC 27001 च्या मान्यताप्राप्त राष्ट्रीय प्रकारांनुसार (उदाहरणार्थ, JIS Q 27001, जपानी आवृत्ती) मान्यताप्राप्त प्रमाणन संस्थेद्वारे प्रमाणित करणे हे स्वतःच ISO/IEC 27001 नुसार प्रमाणित करण्यासारखे कार्य करते.  काही देशांमध्ये, व्यवस्थापन प्रणालींचे निर्दिष्ट मानकांशी सुसंगत असल्याचे सत्यापित करणाऱ्या संस्थांना "प्रमाणीकरण संस्था" असे म्हणतात, तर इतरांमध्ये त्यांना सामान्यतः "नोंदणी संस्था", "मूल्यांकन आणि नोंदणी संस्था", "प्रमाणीकरण / नोंदणी संस्था" आणि कधीकधी "नोंदणी अधिकारी" असे संबोधले जाते.  आयएसओ/आयईसी 27001 प्रमाणन, इतर आयएसओ व्यवस्थापन प्रणाली प्रमाणन प्रमाणे, सहसा आयएसओ/आयईसी 17021 आणि आयएसओ/आयईसी 27006 मानकांमध्ये परिभाषित केलेल्या तीन-चरण बाह्य ऑडिट प्रक्रियेचा समावेश होतोः  पहिला टप्पा म्हणजे आयएसएमएसचा प्राथमिक, अनौपचारिक आढावा. उदाहरणार्थ, संस्थेच्या माहिती सुरक्षा धोरण, लागू करण्याचे विधान (एसओए) आणि जोखीम उपचार योजना (आरटीपी) यासारख्या मुख्य कागदपत्रांचे अस्तित्व आणि पूर्णतेची तपासणी केली जाते. या टप्प्यात लेखापरीक्षकांना संघटनेशी परिचित होण्यासाठी मदत होते आणि उलट. टप्पा 2 हा अधिक तपशीलवार आणि औपचारिक अनुपालन ऑडिट आहे, स्वतंत्रपणे आयएसएमएसची चाचणी आयएसओ/आयईसी 27001 मध्ये नमूद केलेल्या आवश्यकतांनुसार केली जाते. आयएसएमएस योग्यरित्या डिझाइन आणि अंमलबजावणी केली गेली आहे आणि प्रत्यक्षात कार्यरत आहे याची पुष्टी करण्यासाठी ऑडिटर्स पुरावा शोधतील (उदाहरणार्थ, आयएसएमएसवर देखरेख करण्यासाठी सुरक्षा समिती किंवा तत्सम व्यवस्थापन संस्था नियमितपणे भेटते याची पुष्टी करून). प्रमाणन ऑडिट सामान्यतः आयएसओ/आयईसी 27001 लीड ऑडिटरद्वारे केले जातात. या टप्प्यात उत्तीर्ण झाल्यास आयएसएमएसला आयएसओ/आयईसी 27001 नुसार प्रमाणित केले जाते. चालू असलेल्यामध्ये अनुवर्ती आढावा किंवा ऑडिटचा समावेश आहे जेणेकरून संस्थेने मानकांचे पालन केले आहे याची पुष्टी केली जाऊ शकते. आयएसएमएस निर्दिष्ट आणि हेतूनुसार कार्य करत आहे याची पुष्टी करण्यासाठी प्रमाणन देखरेखीसाठी नियतकालिक पुनर्मूल्यांकन ऑडिटची आवश्यकता असते. हे किमान दरवर्षी घडले पाहिजेत परंतु (व्यवस्थापनाच्या सहमतीने) बर्याचदा अधिक वारंवार आयोजित केले जातात, विशेषतः जेव्हा आयएसएमएस अद्याप परिपक्व होत आहे.