کنٹریکٹرز، تعلیم اور آڈٹ

میل آرڈر کا کاروبار کرنے والی کمپنی A نے کسٹمر لسٹ کے ڈیٹا اندراج کا کام کمپنی B کو آؤٹ سورس کیا ہے۔ معاہدے میں رازداری کی ذمہ داری اور حفاظتی انتظامی اقدامات درج ہیں، اور کمپنی B نے ISMS سرٹیفیکیشن بھی حاصل کر رکھی ہے۔ ایک دن کمپنی B کے ایک ملازم نے کام کا ڈیٹا ذاتی PC میں کاپی کر کے گھر لے گیا، جہاں سے تقریباً 5,000 گاہکوں کے نام اور پتے لیک ہو گئے۔ کمپنی B نے معافی مانگ کر تفصیلات رپورٹ کی ہیں، اور کہتی ہے کہ متعلقہ ملازم کے خلاف تادیبی کارروائی کی گئی ہے۔ آپ، کمپنی A کے سیلز ڈیپارٹمنٹ کے لیڈر، ایک اندرونی میٹنگ میں ردِعمل کی پالیسی بیان کرنے والے ہیں۔ میٹنگ میں یہ رائے سامنے آئی ہے کہ "چونکہ کمپنی B معاہدے کی رو سے پابند تھی، اس لیے ہماری کمپنی کو سامنے آنے کی ضرورت نہیں۔" یہاں کمپنی A کی ذمہ داری کے بارے میں سب سے موزوں نقطۂ نظر درج ذیل میں سے کون سا ہے؟

1. ذاتی ڈیٹا کے انتظام کو آؤٹ سورس کرنے سے آؤٹ سورس کرنے والے ادارے کی ذمہ داری ختم نہیں ہوتی، اور متاثرہ افراد کو اطلاع دینے اور عوامی اعلان کے فیصلے میں کمپنی A کو قیادت کرنی چاہیے
2. چونکہ معلومات کو اصل میں کمپنی B سنبھال رہی تھی، اس لیے نگران ادارے کو رپورٹ کرنا اور دوبارہ روک تھام کے اقدامات بیان کرنا، دونوں صرف کمپنی B کی ذمہ داری ہیں
3. کمپنی B سے ہرجانے کا دعویٰ کرنے سے کمپنی A کی ذمہ داری پوری ہو جاتی ہے
4. چونکہ آؤٹ سورسنگ کے معاہدے نے کمپنی B کو حفاظتی انتظام کا پابند کیا تھا، اس لیے کہا جا سکتا ہے کہ کمپنی A کو خود متاثرہ افراد سے رابطہ یا عوامی اعلان کرنے کی ضرورت نہیں

کمپنی A کا جنرل افیئرز ڈیپارٹمنٹ پے رول پروسیسنگ کے لیے نیا کنٹریکٹر چن رہا ہے۔ چونکہ ملازمین کے نام، بینک اکاؤنٹ نمبر اور تنخواہ کی رقوم حوالے کی جائیں گی، اس لیے قیمت کے ساتھ معلوماتی سیکیورٹی کو بھی انتخاب کا معیار بنانے کا فیصلہ کیا گیا۔ تین امیدوار کمپنیاں ہیں، اور ہر ایک سے چیک لسٹ پر جوابات موصول ہو چکے ہیں۔ جنرل افیئرز کے سربراہ کہتے ہیں: "سب سے بڑھ کر میں لاگت کم رکھنا چاہتا ہوں"، لیکن آپ، بطور لیڈر، نے فیصلے کی بنیاد کے طور پر جوابات کو ترتیب دیا ہے۔ جوابات کے نتائج درج ذیل جدول میں دکھائے گئے ہیں۔ معلوماتی سیکیورٹی کے نقطۂ نظر سے سب سے موزوں فیصلہ درج ذیل میں سے کون سا ہے؟

確認項目                          X社  Y社                     Z社------------------------------------------------------------------情報セキュリティ責任者の設置      有   有                      有従業者への年次教育                済   済                      未再委託の予定                      無   有（事前承認手続あり）  有（詳細は不明）監査（立入りまたは書面）の受入れ  可   可                      不可事故発生時の報告期限の明記        可   可                      不可提示価格                          高   中                      低

1. چونکہ کمپنی Y مزید ذیلی ٹھیکہ دینے کا ارادہ رکھتی ہے، اس لیے دوسرے آئٹمز میں اس کی کارکردگی سے قطع نظر صرف اسی بنیاد پر اسے غیر مشروط طور پر زیرِ غور فہرست سے نکال دینا
2. چونکہ کمپنی X کی پیش کردہ قیمت امیدواروں میں سب سے زیادہ ہے، اس لیے باقی تمام آئٹمز پورے کرنے کے باوجود اسے زیرِ غور فہرست سے نکال دینا
3. چونکہ کمپنی Z کی قیمت سب سے کم ہے اور اس کا ذمہ دار افسر بھی مقرر ہے، اس لیے یہ فرض کر کے اسے منتخب کرنا کہ معاہدے کے بعد ملازمین کی تربیت اور آڈٹ قبول کرنے کی صورتحال بہتر ہو جائے گی
4. چونکہ کمپنی Y کے پاس ذیلی ٹھیکے کے لیے پیشگی منظوری کا طریقۂ کار ہے اور وہ آڈٹ قبول کرتی ہے، اس لیے یہ تصدیق کرنے کے بعد اسے امیدوار بنانا کہ وہ اپنے ذیلی ٹھیکیداروں کا انتظام کیسے کرتی ہے

کمپنی A نے اپنے بنیادی سسٹم کی دیکھ بھال کمپنی B کو آؤٹ سورس کی ہے۔ معاہدے میں لکھا ہے: "ذیلی ٹھیکہ دینے کی صورت میں آؤٹ سورس کرنے والے ادارے کی پیشگی تحریری منظوری لینا لازم ہے۔" ایک دوپہر کمپنی B کے ایک نمائندے نے آپ، یعنی کمپنی A کے معلوماتی سیکیورٹی لیڈر، کو فون کر کے کہا: "مصروف موسم کی وجہ سے ہمارے پاس عملہ کم ہے، اور ہم چاہتے ہیں کہ کل سے ہماری شراکت دار کمپنی C کام کے کچھ حصے میں مدد کرے۔ معاملہ فوری ہے، کیا آپ زبانی ہاں کہہ سکتے ہیں؟" کمپنی C کے کام کے لیے دیکھ بھال کے ماحول سے جڑنا ضروری ہے، جس میں کمپنی A کے گاہکوں کا ڈیٹا موجود ہے۔ کمپنی B وضاحت کرتی ہے: "کمپنی C کے ساتھ ہمارا پرانا تعلق ہے اور کوئی مسئلہ نہیں۔" آپ کو سب سے پہلے کیا کرنا چاہیے؟

1. کمپنی A کا کمپنی B کو نظرانداز کر کے کمپنی C سے براہِ راست معاہدہ کرنا، تاکہ اسے ذیلی ٹھیکہ شمار نہ کیا جائے
2. چونکہ ذیلی ٹھیکے کی تجویز بذاتِ خود معاہدے کی خلاف ورزی ہے، اس لیے کمپنی B کے ساتھ آؤٹ سورسنگ کا معاہدہ فوراً ختم کر دینا
3. ان سے تحریری طور پر جمع کروانا کہ ذیلی ٹھیکیدار کمپنی C کا نام اور مقام کیا ہے، کام کا دائرہ اور مدت کیا ہے، کس قسم کی معلومات سنبھالی جائیں گی، اور کیا کمپنی C معاہدے کے ذریعے مساوی رازداری اور حفاظتی انتظام کی پابند ہے
4. چونکہ معاملہ فوری ہے، اس لیے فون پر موقع پر ہی زبانی منظوری دے دینا، اور ذیلی ٹھیکیدار کے نام اور کام کے دائرے والی تحریری دستاویز کام شروع ہونے کے بعد ایک ساتھ وصول کرنا

کمپنی A اپنی پوچھ گچھ ہیلپ ڈیسک کا کام نئے سرے سے کمپنی D کو آؤٹ سورس کر رہی ہے، اور آپ، بطور لیڈر، نے لیگل ڈیپارٹمنٹ سے آئے معاہدے کے مسودے کا جائزہ لیا۔ مسودے میں رازداری کی ذمہ داری، مقصد سے ہٹ کر استعمال کی ممانعت، ذیلی ٹھیکے کے لیے پیشگی منظوری اور انسیڈنٹ کی صورت میں رپورٹ کی ذمہ داری طے ہے۔ دوسری طرف، معاہدہ ختم ہونے پر سونپا گیا ڈیٹا واپس کرنے یا حذف کرنے کی کوئی شق نہیں، اور نہ ہی آڈٹ قبول کرنے کی کوئی شق ہے جس کے ذریعے کمپنی A عمل درآمد کی صورتحال کی تصدیق کر سکے۔ لیگل ڈیپارٹمنٹ کا عملے کا رکن کہتا ہے: "چونکہ یہ ان کا معیاری معاہدہ ہے، اس لیے شقیں شامل کرنا شاید مشکل ہوگا۔" آؤٹ سورس کیے گئے کام میں گاہکوں کے نام اور رابطے کی معلومات شامل ہوں گی۔ آپ کے لیے سب سے موزوں اقدام کیا ہے؟

1. چونکہ یہ دوسرے فریق کا معیاری معاہدہ ہے، اس لیے بغیر تبدیلی کے جیسا پیش کیا گیا ویسا ہی دستخط کر دینا، اور معاہدہ ختم ہونے کے وقت زبانی طور پر ڈیٹا حذف کرنے کی درخواست کرنا
2. دستخط سے پہلے یادداشت یا اسی طرح کی دستاویز کے ذریعے معاہدہ ختم ہونے پر ڈیٹا کی واپسی یا حذف کرنا، اور دستاویزات یا موقع پر دورے کے ذریعے تصدیق قبول کرنا شامل کرنے کے لیے مذاکرات کرنا
3. چونکہ غائب شقیں بڑا خطرہ ہیں، اس لیے یہ آؤٹ سورسنگ مکمل طور پر ترک کر کے سارا کام کمپنی کے اندر کرنا
4. آڈٹ قبول کرنے کی شق چھوڑ دینا کیونکہ عملاً یہ استعمال نہیں ہوتی، اور یادداشت کے ذریعے صرف معاہدہ ختم ہونے پر ڈیٹا کی واپسی یا حذف کرنا شامل کرنا

کمپنی A سال میں ایک بار کنٹریکٹرز کو چیک لسٹ بھیج کر عمل درآمد کی صورتحال کے جوابات معاون ثبوت کے ساتھ طلب کرنے کا طریقہ جاری رکھے ہوئے ہے۔ اس سال بھی ڈیٹا اندراج کی کنٹریکٹر کمپنی B کا جواب آیا، اور جب آپ، بطور لیڈر، نے اس کا جائزہ لیا تو ہر آئٹم کا جواب "نافذ ہے" تھا۔ تاہم طلب کیے گئے ثبوتوں میں سے صرف ملازمین کی سالانہ تربیت والا آئٹم جمع نہیں کرایا گیا۔ کمپنی B میں سال کے دوران رابطہ کار عملے کا رکن بدل گیا، اور پچھلے رابطہ کار سے حوالگی نامکمل لگتی ہے۔ جوابات اور ثبوت کی صورتحال درج ذیل جدول میں دکھائی گئی ہے۔ سب سے پہلے کیا کرنا چاہیے؟

確認項目                  B社の回答       証跡の提出----------------------------------------------------従業者への年次教育の実施  実施            未提出アクセス権の定期棚卸し    実施            提出済再委託の有無              無              該当なし委託データの保管場所      社内サーバのみ  提出済事故時の連絡先の更新      更新済          提出済

1. چونکہ ذیلی ٹھیکے کا جواب "نہیں" دیا گیا، اس لیے اگلے سال کے معاہدے سے ذیلی ٹھیکے کی شق نکال دینا
2. چونکہ جواب کی قابلِ اعتمادی مشکوک ہے، اس لیے بغیر اطلاع موقع پر معائنہ کر کے ہر آئٹم کی وہیں دوبارہ تصدیق کرنا
3. دعویٰ کی گئی تربیت کے لیے حاضری کے ریکارڈ جیسا معاون ثبوت ایک مقررہ آخری تاریخ تک جمع کرانے کی درخواست کرنا
4. چونکہ تمام جوابات "نافذ ہے" ہیں، اس لیے انہیں بس ریکارڈ کے طور پر فائل میں رکھ لینا اور اگلے سال تک مزید کوئی تصدیق نہ کرنا

کمپنی A کا ہیومن ریسورسز ڈیپارٹمنٹ پوری کمپنی کے کام کے ماحول کے سروے کے خلاصے اور تجزیے کو بیرونی کمپنی B کو آؤٹ سورس کرنے پر غور کر رہا ہے۔ کمپنی B کو دیے جانے والے ڈیٹا میں ملازمین کے نام، شعبے اور سروے کے جوابات شامل ہیں۔ HR کے ایک عملے کے رکن نے آپ، بطور لیڈر، سے پوچھا: "چونکہ ڈیٹا ایک بیرونی فریق کو دیا جا رہا ہے، کیا ہمیں ہر ملازم سے انفرادی رضامندی لینے کی ضرورت نہیں؟" آؤٹ سورسنگ کے منصوبے میں معاہدے میں رازداری اور حفاظتی انتظامی اقدامات طے کرنا اور کام کی جگہ اور ذخیرہ کرنے کا طریقہ متعین کرنا شامل ہے۔ سب سے موزوں وضاحت درج ذیل میں سے کون سی ہے؟

1. چونکہ کنٹریکٹر پر بھی ذاتی معلومات کے تحفظ کا ایکٹ لاگو ہوتا ہے، اس لیے حوالگی کے بعد ڈیٹا کا تمام انتظام مکمل طور پر کنٹریکٹر کی ذمہ داری ہے، اور آؤٹ سورس کرنے والے ادارے پر نگرانی کی کوئی ذمہ داری نہیں
2. آؤٹ سورسنگ کے حصے کے طور پر ذاتی ڈیٹا فراہم کرنا تیسرے فریق کو فراہمی شمار نہیں ہوتا اور اس کے لیے متعلقہ فرد کی رضامندی درکار نہیں، لیکن آؤٹ سورس کرنے والے ادارے پر کنٹریکٹر کی نگرانی کی ذمہ داری ہے
3. جس ذاتی ڈیٹا کو فرضی نام والا یا گمنام نہ بنایا گیا ہو، وہ کسی بھی صورت میں کبھی بیرونی فریق کو نہیں دیا جا سکتا
4. آؤٹ سورسنگ بھی تیسرے فریق کو فراہمی ہے، اس لیے ہر ملازم سے انفرادی رضامندی لیے بغیر آؤٹ سورسنگ آگے نہیں بڑھ سکتی

کمپنی A کا سیلز ڈیپارٹمنٹ کوٹیشنز اور تجاویز شیئر کرنے کے لیے کلاؤڈ فائل شیئرنگ سروس (SaaS) استعمال کرتا ہے۔ سروس فراہم کنندہ نے ISMS سرٹیفیکیشن حاصل کر رکھی ہے اور اپنے ڈیٹا سینٹر کے انتظامی ڈھانچے کو عام کرتا ہے۔ ایک دن ایک گاہک نے کمپنی سے رابطہ کر کے کہا: "آپ کی کوٹیشن انٹرنیٹ سرچ میں مل رہی ہے۔" تحقیق سے پتا چلا کہ ایک عملے کے رکن نے شیئرنگ لنک بنایا تو وہ "لنک رکھنے والا ہر شخص دیکھ سکتا ہے" کی ڈیفالٹ سیٹنگ کے ساتھ جاری ہوا، اور اسے ایک بیرونی بلاگ پر دوبارہ پوسٹ کر دیا گیا تھا۔ سیلز ڈیپارٹمنٹ کا ایک عملے کا رکن دلیل دیتا ہے: "مسئلہ فراہم کنندہ کی سروس میں ہے، اس لیے فراہم کنندہ سے وجہ کی تحقیق اور دوبارہ روک تھام کا کہنا چاہیے۔" یہاں سب سے موزوں ردِعمل کیا ہے؟

1. چونکہ فراہم کنندہ کی سرٹیفیکیشن کے دائرے میں کمی نظر آتی ہے، اس لیے سرٹیفیکیشن ادارے کے پاس باضابطہ تحریری شکایت درج کرانا
2. چونکہ کلاؤڈ کا استعمال ہی وجہ ہے، اس لیے پوری کمپنی میں کلاؤڈ سروسز کے استعمال پر پابندی لگا کر اندرونی سرورز پر واپس جانا
3. چونکہ SaaS استعمال کرتے وقت صارف کی کوئی ذمہ داری نہیں ہوتی، اس لیے فراہم کنندہ سے ہرجانہ طلب کرنے کی کارروائی کرنا
4. چونکہ عوامی دائرے کی سیٹنگ صارف کی ذمہ داری کے دائرے میں آتی ہے، اس لیے کمپنی A کی اپنی ڈیفالٹ سیٹنگز، لنک جاری کرنے کے اختیار اور جانچ کے طریقۂ کار پر نظرِ ثانی کرنا

لاجسٹکس کنٹریکٹر کمپنی E کے ساتھ معاہدے کی تجدید کرتے ہوئے کمپنی A نے معاہدے کی شقوں کو ایک فہرست میں ترتیب دیا۔ جائزے سے معلوم ہوا کہ اگرچہ زیادہ تر ضروری شقیں موجود ہیں، لیکن کچھ شقیں غائب یا محدود ہیں۔ کمپنی E کمپنی A کے گاہکوں کے نام اور ترسیل کے پتے سنبھالتی ہے اور ترسیل کے کام کا کچھ حصہ ایک شراکت دار کمپنی کو ذیلی ٹھیکے پر دینے کا ارادہ رکھتی ہے۔ آپ، بطور لیڈر، اس فہرست کی بنیاد پر ترتیب دے رہے ہیں کہ تجدید کے مذاکرات میں کیا مانگا جائے۔ شقوں کے جائزے کے نتائج درج ذیل جدول میں دکھائے گئے ہیں۔ یہاں کمپنی A کا کون سا ردِعمل نامناسب ہے؟

条項                        定めの有無  内容の要点--------------------------------------------------秘密保持義務                有          契約終了後3年間存続目的外利用の禁止            有          委託業務以外での利用を禁止再委託                      有          事前の書面による承認が必要監査の受入れ                有          書面での確認のみ。立入りは不可事故発生時の報告            有          発覚後72時間以内に報告終了時のデータの返却・削除  無          定めなし

1. چونکہ دریافت کے 72 گھنٹوں کے اندر رپورٹ سے ابتدائی ردِعمل میں تاخیر ہو سکتی ہے، اس لیے پہلی رپورٹ کے لیے الگ سے کم مدت مقرر کرنے پر غور کرنا
2. چونکہ رازداری کی ذمہ داری طے ہے، اس لیے کنٹریکٹر کا اپنے ذیلی ٹھیکیداروں کا انتظام کرنا کافی ہے، اور کمپنی A کو ذیلی ٹھیکیدار کا نام یا کام کا دائرہ جاننے کی ضرورت نہیں
3. چونکہ اختتام پر ڈیٹا سے نمٹنے کی کوئی شق نہیں، اس لیے درخواست کرنا کہ تجدید شدہ معاہدے میں واپسی یا حذف کرنے کا دائرہ اور آخری تاریخ، اور تکمیل کی رپورٹ جمع کرانا شامل کیا جائے
4. چونکہ موقع پر دوروں کی اجازت نہیں، اس لیے دستاویزات کے ذریعے تصدیق کے لیے جمع کرائے جانے والے ثبوت کی مخصوص اقسام پہلے سے طے کرنا

جمعہ کی شام 6 بجے آپ، یعنی کمپنی A کے معلوماتی سیکیورٹی لیڈر، کو کنٹریکٹر کمپنی B کے ایک نمائندے کا موبائل فون پر کال آیا۔ کال میں کہا گیا: "کام کے لیے استعمال ہونے والا ایک لیپ ٹاپ غائب ہے۔ ہو سکتا ہے یہ ہمارے دفتر میں کہیں رہ گیا ہو، اس لیے ابھی گم ہونے کی تصدیق نہیں ہوئی۔" لیپ ٹاپ میں کمپنی A کے سونپے گئے گاہکوں کے ڈیٹا کی کام کی فائلیں ہو سکتی ہیں۔ کمپنی B کا نمائندہ کہتا ہے: "صورتحال واضح ہونے کے بعد ہم باضابطہ رپورٹ دینا چاہیں گے۔" کمپنی A کے معاہدے کے تحت ممکنہ انسیڈنٹ سمیت دریافت کے 2 گھنٹوں کے اندر پہلی رپورٹ دینا لازم ہے، اور وصول کرنے کا مرکز انفارمیشن سسٹمز ڈیپارٹمنٹ کا انسیڈنٹ ڈیسک ہے۔ سب سے پہلے کیا کرنا چاہیے؟

1. کمپنی B کے نمائندے کو ہدایت دینا کہ حقائق کی تصدیق تک کمپنی کے اندر یا باہر کسی کو نہ بتائیں
2. چونکہ گم ہونے کی ابھی تصدیق نہیں ہوئی، اس لیے اعلیٰ افسر کو رپورٹ کرنے کے لیے پیر کی صبح تک انتظار کرنا، اور اس دوران رابطہ کیے بغیر خاموشی سے صورتحال پر نظر رکھنا
3. فوراً کمپنی کے اپنے انسیڈنٹ ڈیسک کو پہلی رپورٹ دینا، اور کمپنی B سے مقررہ فارمیٹ میں باضابطہ پہلی رپورٹ جمع کرانے اور لیپ ٹاپ پر موجود معلومات کی نشاندہی کرنے کی درخواست کرنا
4. اگلے ہفتے کا انتظار کیے بغیر خود کمپنی B کے دفتر جا کر نمائندے کے ساتھ لیپ ٹاپ تلاش کرنا

کمپنی A کی جانب سے کمپنی B کو چھ ماہ کے لیے آؤٹ سورس کیا گیا مہم کی ہیلپ ڈیسک کا کام ختم ہو گیا ہے۔ اس کام میں تقریباً 20,000 درخواست دہندگان کے نام، پتے اور فون نمبر سنبھالے گئے۔ کمپنی B سے ای میل آئی: "تمام کام مکمل ہو گیا ہے۔ سونپا گیا ڈیٹا ہمارے ضوابط کے مطابق مناسب طریقے سے نمٹایا جائے گا۔" معاہدے میں طے ہے کہ معاہدہ ختم ہونے پر سونپا گیا ڈیٹا واپس یا حذف کرنا اور تکمیل کی رپورٹ جمع کرانا لازم ہے۔ کمپنی B سے دریافت کرنے پر اس نے وضاحت کی کہ کام کے ڈیٹا کے علاوہ روزانہ کے بیک اپ ایک الگ سسٹم پر محفوظ ہیں۔ کمپنی A کے لیے سب سے موزوں ردِعمل کیا ہے؟

1. چونکہ حذف کیے جانے کی تصدیق اگلے سال کے اندرونی آڈٹ میں ہو سکتی ہے، اس لیے فی الحال صرف رپورٹ والی ای میل موصول ہونے کا ریکارڈ رکھنا
2. یہ تصدیق کرنے کے بعد کہ بیک اپ اور کام کی نقول بھی دائرے میں شامل ہیں، ایک مقررہ آخری تاریخ تک حذف کرنے کا سرٹیفکیٹ جمع کرانے کی درخواست کرنا
3. چونکہ کمپنی B سرٹیفائیڈ اور قابلِ اعتماد ہے، اس لیے حذف کرنے کا سرٹیفکیٹ طلب کیے بغیر آؤٹ سورسنگ ختم کر دینا
4. چونکہ بیک اپ کمپنی B نے اپنے آپریشنل مقاصد کے لیے بنائے تھے، اس لیے انہیں حذف کرنے کے دائرے میں شامل کرنے کی ضرورت نہیں

کمپنی A نے پہلی بار ٹارگٹڈ حملے کی ای میل کی تربیتی مشق کی۔ معمول کے کاروباری پیغام کا روپ دھارنے والی تربیتی ای میل تمام ملازمین کو بھیجی گئی تو کھولنے کی شرح 22% رہی، جبکہ رپورٹنگ ڈیسک کو رپورٹس صرف 6% تک پہنچیں۔ نتائج شیئر کرنے کی میٹنگ میں ایک ڈیپارٹمنٹ کے سربراہ نے درخواست کی: "براہِ کرم مجھے ای میل کھولنے والے ملازمین کے ناموں کی فہرست دیں۔ میں ان کا نام لے کر انفرادی رہنمائی کرنا اور اسے کارکردگی کے جائزے میں شامل کرنا چاہتا ہوں۔" آپ، بطور لیڈر، محسوس کرتے ہیں کہ تربیت کا مقصد دوبارہ سمجھانے کی ضرورت ہے۔ آئندہ یہ تربیت سال میں ایک بار جاری رکھنے کا منصوبہ ہے۔ آپ کے لیے سب سے موزوں اقدام کیا ہے؟

1. درخواست کے مطابق ڈیپارٹمنٹ کے سربراہ کو ای میل کھولنے والے ملازمین کے ناموں کی فہرست دینا، اور انفرادی رہنمائی اور کارکردگی کے جائزے میں شامل کرنے میں تعاون کرنا
2. اگلی بار سے تربیتی ای میل کو واضح طور پر تربیت کے طور پر پہچانے جانے کے قابل بنانا تاکہ کھولنے کی شرح کم ہو
3. چونکہ کھولنے کی زیادہ شرح کمپنی کے اندر حوصلہ پست کرتی ہے، اس لیے نتائج شائع نہ کرنا اور صرف ذمہ دار شخص کے پاس رکھنا
4. نام نہ دینا؛ نتائج ڈیپارٹمنٹ کی سطح کے رجحانات کے طور پر شیئر کرنا، اور سب سے زیادہ کھلوانے والے طریقے کو رپورٹ کرنے کا طرزِ عمل پختہ کرنے والی تعلیم کا مواد بنانا

کمپنی A نے ٹارگٹڈ حملے کی ای میل کی دوسری تربیتی مشق کی اور نتائج کا ڈیپارٹمنٹ وار خلاصہ تیار کیا۔ تربیتی ای میل معمول کے کاروباری پیغام کا روپ دھارے ہوئے تھی، اور کھولنے اور رپورٹس دونوں کی پیمائش کی گئی۔ رپورٹ کی شرح بھیجی گئی ای میلز کے مقابلے میں رپورٹس کی تعداد کا تناسب ہے، اور پہلی رپورٹ تک کا وقت ڈیسک تک پہلی رپورٹ پہنچنے تک کا وقت ہے۔ پوری کمپنی کا ہدف "کھولنے کی شرح 15% یا اس سے کم" تھا، لیکن آپ، بطور لیڈر، سمجھتے ہیں کہ صرف کھولنے کی شرح کی بنیاد پر اچھے یا برے کا فیصلہ نہیں کرنا چاہیے۔ خلاصہ شدہ نتائج درج ذیل جدول میں ہیں۔ نتائج کی سب سے موزوں تشریح درج ذیل میں سے کون سی ہے؟

部門    送信数  開封数  開封率  報告数  報告率  初報までの時間--------------------------------------------------------------営業部  120     24      20%     40      33%     12分総務部  40      4       10%     2       5%      180分製造部  90      18      20%     27      30%     15分開発部  60      6       10%     3       5%      150分

1. پوری کمپنی کی کھولنے کی شرح 15% کے ہدف سے کم ہے اور رپورٹ کی شرح بھی بہتر ہوئی ہے، اس لیے آئندہ کی تمام تربیتی مشقیں بند کر دینی چاہئیں
2. جنرل افیئرز اور ڈیولپمنٹ، جن کی کھولنے کی شرح کم ہے لیکن رپورٹ کی شرح بھی کم ہے اور پہلی رپورٹ سست ہے، کے لیے رپورٹنگ ڈیسک اور رپورٹ کرنے کے طریقۂ کار سے آگاہی کو ترجیح دینا
3. چونکہ جنرل افیئرز کی کھولنے کی شرح سب سے کم ہے، اس لیے کہا جا سکتا ہے کہ وہ بہترین حالت میں ہے، اور دوسرے ڈیپارٹمنٹس کا جائزہ اس طرح لینا چاہیے کہ انہیں جنرل افیئرز کے طریقے کی پیروی کرنی ہے
4. چونکہ سیلز کی کھولنے کی شرح سب سے زیادہ ہے، اس لیے سیلز کے عملے کو تادیبی کارروائی سمیت دوبارہ تربیت دینی چاہیے

کمپنی A سالانہ معلوماتی سیکیورٹی تربیت ای لرننگ کے ذریعے کرتی ہے، جس کا ہدف صرف مستقل ملازمین ہیں۔ عملاً ریسیپشن کا کام کرنے والا عارضی عملہ اور ڈیولپمنٹ کے لیے موقع پر تعینات کنٹریکٹر کے ملازمین بھی اندرونی نیٹ ورک سے جڑ کر گاہکوں کا ڈیٹا دیکھ سکتے ہیں۔ حالیہ اندرونی آڈٹ میں نشاندہی کی گئی کہ "معلومات تک رسائی رکھنے والوں میں سے کچھ تربیت کے دائرے میں نہیں آتے۔" HR نے یہ رائے دی ہے کہ "چونکہ عارضی عملہ اور کنٹریکٹر کے ملازمین ہمارے ملازم نہیں، کیا تربیت ان کی، یعنی اسٹافنگ ایجنسی یا کنٹریکٹر کی، ذمہ داری نہیں؟" آپ، بطور لیڈر، اصلاحی پالیسی پیش کرنے والے ہیں۔ سب سے موزوں طریقہ کیا ہے؟

1. عارضی عملے کے لیے کمپنی کی اپنی تربیت چھوڑ کر صرف ان کی قابلِ دید معلومات کا دائرہ کم کر کے مسئلہ حل کرنا
2. یہ فیصلہ کرنا کہ چونکہ کنٹریکٹر کے ملازمین آؤٹ سورسنگ کے معاہدے کے ذریعے رازداری کے پابند ہیں، اس لیے کمپنی کی اپنی تربیت خاص طور پر ضروری نہیں
3. ملازمت کی مختلف نوعیت کی وجہ سے انہیں دائرے سے باہر رکھنا، اور زبانی طور پر بتا دینا کہ تربیت اسٹافنگ ایجنسی یا کنٹریکٹر پر چھوڑی گئی ہے
4. کمپنی کی معلومات تک رسائی کی حد کے مطابق عارضی عملے اور کنٹریکٹر کے ملازمین کو بھی کمپنی کے اپنے ضوابط پر مبنی تربیت دینا اور ان سے حلف نامے لینا

کمپنی A نے کمپنی سے باہر معلومات لے جانے کے اپنے ضابطے میں ترمیم کی۔ ترمیم کے تحت ذاتی ڈرائیوز سمیت USB ڈرائیو کے ذریعے باہر لے جانا اصولاً ممنوع ہو گیا ہے، اور کمپنی سے باہر فائلیں بھیجنے کے لیے اب ایک مقررہ کلاؤڈ سروس کے ذریعے سپروائزر کو درخواست دینا اور منظوری لینا ضروری ہے۔ سیکرٹیریٹ نے ترمیم شدہ ضابطہ انٹرانیٹ کی ضوابط لائبریری میں شائع کیا اور نفاذ کی تاریخ اگلے مہینے کی 1 مقرر کی۔ تاہم موقع پر کام کرنے والے لیڈروں کی میٹنگ میں بار بار ایسے تبصرے آئے کہ "مجھے پتا ہی نہیں تھا کہ یہ شائع ہوا ہے" اور "میں نے نئی درخواست کی اسکرین کبھی نہیں دیکھی۔" نفاذ کی تاریخ میں 3 ہفتے باقی ہیں۔ سب سے پہلے کیا کرنا چاہیے؟

1. ضوابط لائبریری میں شائع اور اندرونی طور پر عام ہونے کے ساتھ ہی آگاہی مکمل ہو چکی ہے، اس لیے مزید کسی اقدام کی خاص ضرورت نہیں
2. چونکہ پتا چلا کہ موقع پر کام کرنے والوں کو اس کا علم نہیں تھا، اس لیے ضابطے کی ترمیم ہی منسوخ کر کے پچھلے طریقۂ کار پر واپس جانا
3. نفاذ کی تاریخ سے پہلے متعلقہ افراد تک تبدیلیوں کا خلاصہ، نفاذ کی تاریخ اور درخواست کا نیا طریقۂ کار پہنچانا، اور سمجھ کی تصدیق کے لیے ایک نشست منعقد کرنا
4. نفاذ کی تاریخ کے بعد ضابطے کی خلاف ورزی کرنے والوں کی نشاندہی کرنا اور متعلقہ افراد کو انفرادی رہنمائی اور تنبیہ کرنا

آپ، کمپنی A کے لیڈر، نے اس مالی سال کے معلوماتی سیکیورٹی تعلیم کے سالانہ منصوبے اور نتائج کو ایک فہرست میں ترتیب دیا۔ ترتیب دینے پر معلوم ہوا کہ کچھ زمروں میں تعلیم ہو چکی ہے جبکہ کچھ کے لیے کوئی منصوبہ ہی نہیں۔ سسٹم ایڈمنسٹریٹرز خصوصی اختیارات والے IDs سنبھالتے ہیں، اور موقع پر تعینات کنٹریکٹر کے ملازمین گاہکوں کا ڈیٹا دیکھ سکنے کی حیثیت میں ہیں۔ اگلے سال کا منصوبہ بناتے ہوئے آپ کو محدود افرادی اوقات کے پیشِ نظر طے کرنا ہے کہ پہلے کس پر کام کیا جائے۔ ترتیب دیے گئے نتائج درج ذیل جدول میں ہیں۔ اگلے سال کے منصوبے میں سب سے موزوں ترمیم درج ذیل میں سے کون سی ہے؟

対象                時期           方法         受講率------------------------------------------------------新入社員            4月（配属前）  集合研修     100%中途入社者          随時           eラーニング  100%一般社員            10月           eラーニング  97%管理職              10月           集合研修     88%システム管理者      未実施         なし         なし派遣・委託先従業者  未実施         なし         なし

1. عام ملازمین کی تعلیم کو سال میں ایک سے بڑھا کر دو بار کرنا، اگلے سال کے تعلیمی منصوبے کا اولین ترجیحی آئٹم بنانا
2. اگلے سال کے منصوبے میں سسٹم ایڈمنسٹریٹرز اور عارضی/کنٹریکٹر ملازمین کی تعلیم شامل کرنے کو ترجیح دینا، جن کے لیے فی الحال کوئی منصوبہ بالکل موجود نہیں
3. چونکہ نئے ملازمین کی حاضری کی شرح 100% ہے اور یہ پختہ ہو چکی ہے، اس لیے اگلے سال نئے ملازمین کی اجتماعی تربیت مکمل طور پر بند کر دینا
4. سب سے کم حاضری کی شرح والی منیجرز کی اجتماعی تربیت ختم کرنا، اور منیجرز کی تمام تعلیم ای لرننگ میں یکجا کرنا

کمپنی A اپنی سالانہ تربیت کے آخر میں سمجھ کا ٹیسٹ لیتی ہے، اور اس سال بھی پوری کمپنی کے نتائج کا موضوع وار خلاصہ تیار کیا گیا۔ مجموعی اوسط درست جوابات کی شرح پچھلے سال سے 2 پوائنٹ بڑھی۔ دوسری طرف موضوع وار دیکھنے پر فرق بڑا ہے، اور پتا چلتا ہے کہ صرف ایک خاص موضوع مسلسل کم رہا ہے۔ موقع پر ذاتی USB ڈرائیو کے ذریعے باہر لے جانے سے متعلق بال بال بچنے کی رپورٹس آتی رہتی ہیں۔ آپ، بطور لیڈر، اگلے سال کے تعلیمی منصوبے میں شامل کرنے کے لیے نتائج کا تجزیہ کر رہے ہیں۔ خلاصہ شدہ نتائج درج ذیل جدول میں ہیں۔ سب سے پہلے کیا کرنا چاہیے؟

分野                    今年の正答率  前年の正答率--------------------------------------------------パスワードの管理        92%           90%不審メールの報告先      88%           60%情報の持出し申請の手順  41%           44%記録媒体の廃棄          78%           75%SNSでの発信             85%           83%

1. چونکہ مشکوک ای میل کی رپورٹنگ کی جگہ کے موضوع میں درست جوابات کی شرح نمایاں طور پر بڑھی ہے، اس لیے اگلے سال سے اس موضوع کی تعلیم اور سوالات بند کر کے وہ وقت دوسرے موضوعات کو دینا
2. باہر لے جانے کی درخواست کے طریقۂ کار کے موضوع کے لیے، جس کی درست جوابات کی شرح مسلسل کم رہی ہے، یہ جانچنا کہ کیا مواد کی وضاحت ناکافی ہے اور کیا درخواست کا اصل طریقۂ کار خود استعمال میں مشکل ہے
3. کم درست جوابات کی شرح والے موضوع کے سوالات اگلے سال کے ٹیسٹ سے نکال دینا، تاکہ مجموعی اوسط درست جوابات کی شرح بڑھ جائے
4. چونکہ مجموعی اوسط درست جوابات کی شرح پچھلے سال سے بڑھی ہے، اس لیے اگلے سال بھی وہی مواد اور وہی ڈھانچہ استعمال کرنا

کمپنی A نے رینسم ویئر کے انفیکشن کو فرض کرتے ہوئے انسیڈنٹ ردِعمل کا طریقۂ کار کا کتابچہ تیار کیا، لیکن اسے بنانے کے بعد چھ ماہ میں ایک بھی مشق نہیں کی۔ کتابچے میں دیگر باتوں کے علاوہ ابتدائی رابطے کا مرکز، نیٹ ورک کو الگ کرنے کا فیصلہ کون کرے گا، اور عوامی اعلان کا فیصلہ کون کرے گا، درج ہیں۔ کاروباری سسٹم کو حقیقتاً روکنے والی عملی مشق پروڈکشن لائن پر بڑے اثر کی وجہ سے کرنا مشکل ہے۔ مشق کو آؤٹ سورس کرنے پر غور کیا گیا، لیکن اس سال کے بجٹ میں یہ مشکل ہے۔ آپ، بطور لیڈر، پھر بھی جانچنا چاہتے ہیں کہ کیا کتابچہ حقیقت میں استعمال ہو سکتا ہے۔ سب سے موزوں طریقہ کیا ہے؟

1. چونکہ صرف مل کر کتابچہ پڑھنا بے معنی ہے، اس لیے بجٹ ملنے تک کوئی مشق نہ کرنا، اور پھر اصل پروڈکشن کاروباری سسٹم کو روکنے والی عملی مشق کرنا
2. مشق صرف انفارمیشن سسٹمز ڈیپارٹمنٹ کرے تو کافی ہے؛ کاروباری ڈیپارٹمنٹس کی شرکت ضروری نہیں
3. ایک فرضی منظرنامہ تقسیم کر کے متعلقہ افراد کو جمع کرنا اور ٹیبل ٹاپ مشق کرنا جس میں ہر شخص باری باری اگلے اقدامات اور فیصلوں کی تصدیق کرے جو وہ کرے گا، اور پرانی رابطہ معلومات اور فیصلوں کے ذمہ داروں میں خلا کو سامنے لانا
4. اگر عملی مشق نہ ہو سکے تو مشقیں مکمل طور پر چھوڑ کر ان کی جگہ سب کو کتابچہ تقسیم کر دینا

کمپنی A میں ذمہ دار شخص معلوماتی سیکیورٹی تربیت کی حاضری کے ریکارڈ ایک ذاتی PC پر اسپریڈشیٹ فائل میں سنبھالتا تھا۔ جب اس شخص کا دوسرے کام پر تبادلہ ہوا اور فائلیں ترتیب دی گئیں تو پتا چلا کہ دو سال کے حاضری ریکارڈ غائب ہیں۔ بدقسمتی سے آؤٹ سورسنگ کی گاہک کمپنی F سے درخواست آئی کہ "اپنے ملازمین کو دی گئی تربیت کی صورتحال دکھانے والے ریکارڈ جمع کرائیں۔" تربیت خود ہر سال ہوتی رہی ہے، اور اس وقت کا مواد اور اعلان کی ای میلز اب بھی موجود ہیں۔ آپ، بطور لیڈر، کو اس جمع کرانے اور آئندہ ریکارڈ کے انتظام دونوں سے نمٹنا ہے۔ سب سے موزوں طریقہ کیا ہے؟

1. چونکہ ریکارڈ ختم ہونے کے باوجود تربیت خود ہر سال ہوتی رہی ہے، اس لیے زبانی طور پر وضاحت کرنا کافی ہے کہ یہ کی گئی تھی
2. چونکہ ریکارڈ صرف آڈٹ اور گاہک کی تصدیق کے لیے ہوتے ہیں، اس لیے ہر بار درخواست آنے پر انہیں نئے سرے سے تیار کرنا
3. ضابطے میں طے کرنا کہ ریکارڈ کون، کہاں اور کتنی مدت تک محفوظ رکھنے کا ذمہ دار ہے، ایسے نظام پر منتقل ہونا جو کسی ایک فرد پر منحصر نہ ہو، اور کمپنی F کو موجود ریکارڈ دوبارہ روک تھام کے منصوبے کے ساتھ پیش کرنا
4. غائب دو سالوں کے پچھلے شرکا کی فہرست شرکا اور دیگر متعلقہ افراد کی یادداشت کی مدد سے دوبارہ بنانا، اسے اس وقت کے حقیقی حاضری ریکارڈ کے طور پر کمپنی F کو جمع کرانا، اور آئندہ کی درخواستوں سے بھی اسی طرح نمٹتے رہنا

کمپنی A تین سال سے مسلسل ٹارگٹڈ حملے کی ای میل کی تربیتی مشق کر رہی ہے اور ہر بار نتائج کو تعلیم میں شامل کرتی ہے۔ پہلے مرحلے میں بہت سے ملازمین نے ای میل کھولی اور تقریباً کسی نے رپورٹ نہیں کی، اس لیے کمپنی نے رپورٹنگ ڈیسک سے آگاہی اور یہ سمجھانے پر توجہ دی کہ رپورٹ کرنے پر الزام نہیں آئے گا۔ تربیت سے الگ کمپنی ان حقیقی مشکوک ای میلز کی ماہانہ اوسط تعداد بھی ریکارڈ کرتی ہے جو ملازمین کو موصول ہوتی ہیں اور وہ ڈیسک کو رپورٹ کرتے ہیں۔ اگلی کمیٹی میٹنگ میں آپ، بطور لیڈر، انتظامیہ کو 3 سال کا رجحان رپورٹ کرنے والے ہیں۔ رجحان درج ذیل جدول میں ہے۔ رپورٹ کا سب سے موزوں مواد کیا ہے؟

回     開封率  報告率  初報までの時間  実際の不審メール報告-----------------------------------------------------------第1回  22%     6%      120分           月2件第2回  15%     18%     45分            月9件第3回  12%     34%     18分            月21件

1. چونکہ کھولنے کی شرح ہی واحد قابلِ جائزہ پیمانہ ہے، اس لیے رپورٹ کرنا کہ جب تک کھولنے کی شرح 10% سے نیچے نہ آئے کوئی نتیجہ حاصل نہیں ہوا
2. چونکہ رپورٹ کی شرح بڑھی ہے لیکن کھولنے کی شرح ابھی 0% تک نہیں پہنچی، اس لیے رپورٹ کرنا کہ تین سال کی تربیت کا کوئی اثر نہیں ہوا
3. چونکہ ملازمین کو حقیقتاً موصول ہونے والی مشکوک ای میلز کی رپورٹس کی تعداد بڑھتی جا رہی ہے، اس لیے رپورٹ کرنا کہ ملازمین میں معلوماتی سیکیورٹی کا شعور دراصل کم ہو رہا ہے
4. رپورٹ کرنا کہ کھولنے کی شرح میں کمی کے ساتھ رپورٹ کی شرح میں اضافہ اور پہلی رپورٹ تک کے وقت میں کمی مسلسل جاری ہے، اور حقیقی مشکوک ای میل کی رپورٹس بھی بڑھی ہیں، جو ظاہر کرتا ہے کہ رپورٹ کرنے کا طرزِ عمل پختہ ہو رہا ہے

کمپنی A کی سالانہ معلوماتی سیکیورٹی کمیٹی کی میٹنگ میں آپ، بطور لیڈر، تعلیم کی صورتحال پر رپورٹ دیتے ہیں۔ پچھلی رپورٹس عمل درآمد کے حقائق پر مرکوز رہی ہیں، جیسے "ای لرننگ کرائی گئی، اور حاضری کی شرح 97% تھی"، اور انتظامیہ بار بار پوچھتی رہی ہے: "تو کیا کمپنی حقیقت میں مضبوط ہوئی ہے؟" اگلے سال آپ تربیت کا کچھ حصہ آؤٹ سورس کرنے اور کم سمجھ والے موضوعات کا مواد دوبارہ بنانے پر غور کر رہے ہیں، اور دونوں کے لیے بجٹ درکار ہے۔ آپ کے پاس حاضری کی شرح، سمجھ کے ٹیسٹ میں موضوع وار درست جوابات کی شرح، تربیتی مشق کی رپورٹ کی شرح اور پہلی رپورٹ تک کا وقت، اور انسیڈنٹس کی تعداد اور اقسام کا رجحان موجود ہے۔ کمیٹی کو رپورٹ دینے کا سب سے موزوں طریقہ کیا ہے؟

1. چونکہ انتظامیہ کو باریک تفصیلات کی ضرورت نہیں، اس لیے پیمانوں کا رجحان، اگلے سال کا منصوبہ اور درکار بجٹ چھوڑ کر صرف یہ نتیجہ رپورٹ کرنا کہ کوئی بڑا مسئلہ پیش نہیں آیا
2. حاضری کی شرح کے ساتھ سمجھ کے ٹیسٹ میں موضوع وار درست جوابات کی شرح، تربیتی مشق کی رپورٹ کی شرح اور پہلی رپورٹ تک کا وقت، اور انسیڈنٹس کی تعداد اور اقسام کا رجحان پیش کرنا، اور تجویز کرنا کہ آگے کیا بدلنا ہے اور کون سے وسائل درکار ہیں
3. چونکہ تعلیم کا اثر اعداد میں ظاہر نہیں کیا جا سکتا، اس لیے صرف منعقدہ نشستوں اور شرکا کی تعداد رپورٹ کرنا
4. صرف حاضری کی شرح دکھانا، اور وضاحت کرنا کہ 100% سے کم رہنے کی وجہ موقع پر کام کرنے والوں کا کم شعور ہے

کمپنی A سال میں ایک بار معلوماتی سیکیورٹی کا اندرونی آڈٹ کرتی ہے۔ اس سال کے آڈٹ کے دائرے میں رسائی کے حقوق کے انتظام کا وہ نظام شامل ہے جسے انفارمیشن سسٹمز ڈیپارٹمنٹ نے خود ڈیزائن کیا ہے اور چلاتا ہے۔ آڈٹ کون کرے گا، یہ طے کرنے کی میٹنگ میں سیکرٹیریٹ نے تجویز دی: "چونکہ انفارمیشن سسٹمز ڈیپارٹمنٹ اس نظام کو سب سے بہتر جانتا ہے، اس لیے اسی ڈیپارٹمنٹ کے چیف سے آڈٹ کروانا مؤثر ہوگا۔" چیف خود بھی کہتے ہیں: "میں اسے جلدی جانچ سکتا ہوں۔" آپ، بطور لیڈر، کو اس تجویز پر تحفظات ہیں۔ سب سے موزوں طریقہ کیا ہے؟

1. چونکہ اندرونی آڈٹ محض رسمی سرگرمی ہے، اس لیے اس بار اسے چھوڑ کر اس کی جگہ سرٹیفیکیشن ادارے کے بیرونی جائزے کے نتائج استعمال کرنا
2. چونکہ خودمختاری محض رسمی تقاضا ہے، اس لیے سیکرٹیریٹ کی تجویز پر جوں کا توں عمل کرنا، اور آڈٹ رپورٹ میں یہ لکھ دینا کافی ہے کہ خودمختاری کو مدِنظر رکھا گیا
3. چونکہ نظام سے سب سے زیادہ واقف عملے کا رکن خامیاں تلاش کرنے کا زیادہ امکان رکھتا ہے، اس لیے سیکرٹیریٹ کی تجویز پر عمل کر کے انفارمیشن سسٹمز ڈیپارٹمنٹ کے چیف کو ذمہ داری دینا
4. آڈٹ کیے جانے والے ڈیپارٹمنٹ سے تعلق نہ رکھنے والے کسی شخص، آڈٹ ڈیپارٹمنٹ، یا کسی بیرونی ماہر کو ذمہ دار بنانا، اور انفارمیشن سسٹمز ڈیپارٹمنٹ کو وضاحتیں اور ثبوت فراہم کرنے والے فریق کی حیثیت میں رکھنا

کمپنی A اس سال پہلی بار معلوماتی سیکیورٹی کے اندرونی آڈٹ شروع کر رہی ہے، اور جنرل افیئرز کے ایک عملے کے رکن کو آڈیٹر مقرر کیا گیا ہے۔ وہ عملے کا رکن کہتا ہے: "میرا ارادہ ہے کہ ہر ڈیپارٹمنٹ کا دورہ کروں اور جو چیز توجہ کھینچے اسے موقع پر اٹھاؤں۔" کمپنی کے پاس معلوماتی سیکیورٹی کا ضابطہ اور مختلف طریقۂ کار کے کتابچے ہیں، اور آؤٹ سورسنگ شراکت داروں کے ساتھ معاہدوں میں حفاظتی انتظام کی شقیں شامل ہیں۔ آڈٹ کے نتائج انتظامیہ کو رپورٹ کیے جائیں گے، اور کسی بھی نشاندہی پر اصلاحی اقدام کی درخواست کی جائے گی۔ آپ، بطور لیڈر، کو فکر ہے کہ آڈٹ کیے جانے والے ڈیپارٹمنٹس اس طریقے سے مطمئن نہیں ہوں گے۔ سب سے پہلے کیا کرنا چاہیے؟

1. کسی دوسری کمپنی کی آڈٹ رپورٹ حاصل کر کے اس میں لکھی نشاندہیوں کو جوں کا توں اس کمپنی کی اپنی نشاندہیاں بنا لینا
2. ہر ڈیپارٹمنٹ کا دورہ کرنا، جو کچھ توجہ کھینچے اس کی فہرست بنانا، اور اہم لگنے والے آئٹمز کو نشاندہیوں کے طور پر چننا
3. آڈٹ کا دائرہ اور وہ آڈٹ معیارات پہلے سے طے کرنا جن کے مطابق اچھے اور برے کا فیصلہ ہوگا (کمپنی کے اپنے ضوابط، طریقۂ کار کے کتابچے، معاہدے کی شقیں، قوانین)
4. چونکہ ڈیپارٹمنٹس کو پہلے سے اطلاع دینے سے انہیں تیاری کا موقع ملتا ہے، اس لیے دائرے یا شیڈول کی اطلاع دیے بغیر اچانک آڈٹ کرنا، اور صرف موقع پر دیکھی گئی چیزوں کو نشاندہیوں کے طور پر پیش کرنا

کمپنی A اندرونی آڈٹ کی نشاندہیوں کو ایک فہرست میں سنبھالتی ہے اور ہر مہینے زمرہ، اصلاح کی آخری تاریخ اور پیش رفت جانچتی ہے۔ زمرے یہ ہیں: "عدم مطابقت"، جو کسی ضابطے یا تقاضے پر پورا نہیں اترتی، اور "بہتری کا موقع"، جو خلاف ورزی نہیں لیکن بہتر کیا جا سکتا ہے۔ آج 20 اکتوبر ہے، اور آپ، بطور لیڈر، نے پیش رفت کی میٹنگ سے پہلے صورتحال ترتیب دی ہے۔ کچھ آئٹمز آگے نہیں بڑھ رہے، اور کچھ اپنی آخری تاریخ بھی گزار چکے ہیں۔ موجودہ صورتحال درج ذیل جدول میں ہے۔ کس آئٹم پر سب سے پہلے کام کرنا چاہیے؟

No  指摘事項                            区分        是正期限    状況--------------------------------------------------------------------1   退職者のアカウントが3件残存         不適合      9/30        未（担当が未定）2   委託先の年次報告書が未読のまま保管  不適合      11/15       対応中3   異動時の旧権限の削除手順が未整備    不適合      11/30       対応中4   教育記録の保管期間が規程に未記載    改善の機会  次回改訂時  未5   会議室での書類の置きっぱなし        改善の機会  随時        済

1. No.3 کے طریقۂ کار کی تیاری پہلے مکمل کرنے پر توجہ مرکوز کرنا، جس کی آخری تاریخ میں ابھی دن باقی ہیں
2. No.1 کے ملازمت چھوڑ دینے والے ملازم کے اکاؤنٹ کو حذف کرنے کا کام شروع کرنا، جو آخری تاریخ گزار چکا ہے اور اب بھی کسی کو تفویض نہیں
3. No.5 کے میٹنگ روم میں دستاویزات چھوڑ دینے کے مسئلے پر پوری کمپنی کو دوبارہ احتیاطی نوٹس جاری کرنا
4. دوسرے آئٹمز سے پہلے No.4 کی تربیتی ریکارڈ محفوظ رکھنے کی مدت کے لیے ضابطے کی عبارت درست کرنے کا کام شروع کرنا

کمپنی A کے سیلز ڈیپارٹمنٹ کو پچھلے سال کے اندرونی آڈٹ میں یہ نشاندہی ملی کہ "تبادلہ شدہ ملازم کے سابقہ ڈیپارٹمنٹ کے رسائی کے حقوق ختم نہیں کیے گئے تھے۔" سیلز نے موقع پر ہی متعلقہ فرد کے حقوق ختم کیے، آڈٹ ڈیپارٹمنٹ کو رپورٹ کیا کہ "متعلقہ عملے کے رکن کو تنبیہ کر دی گئی"، اور اسے درست شدہ سمجھا۔ پھر بھی اس سال کے آڈٹ میں 3 الگ معاملات پر وہی نشاندہی سامنے آئی۔ تحقیق سے پتا چلا کہ تبادلے HR سسٹم میں نمٹائے جاتے ہیں، لیکن رسائی کے حقوق کا خاتمہ اس بنیاد پر چلتا ہے کہ ہر ڈیپارٹمنٹ کا عملہ جب اتفاقاً نوٹس کرے تب خاتمے کی درخواست دے، اور طریقۂ کار کے کتابچے میں خاتمے کا کوئی مرحلہ بیان ہی نہیں۔ آپ، بطور لیڈر، اس بار دوبارہ ہونا ہمیشہ کے لیے روکنا چاہتے ہیں۔ سب سے موزوں طریقہ کیا ہے؟

1. چونکہ پچھلے سال کی تنبیہ کے باوجود یہ دوبارہ ہوا، اس لیے سابقہ رسائی کے حقوق ختم کرنے میں غفلت کرنے والے عملے کے رکن کے خلاف کام کے ضوابط کے تحت تادیبی کارروائی کرنا
2. ہر سال آڈٹ سے عین پہلے غیر ضروری رسائی کے حقوق کی یکمشت انوینٹری اور خاتمہ کرنا، تاکہ اگلے سال بھی نشاندہی سے بچا جا سکے
3. چونکہ یہ نشاندہی ہر سال دہرائی جاتی ہے، اس لیے آڈٹ ڈیپارٹمنٹ سے پرزور درخواست کرنا کہ اسے عملاً ناگزیر سمجھ کر نشاندہیوں سے خارج کر دے
4. سابقہ رسائی کے حقوق کے خاتمے کو تبادلے کے طریقۂ کار میں لازمی مرحلے کے طور پر شامل کرنا، اور سہ ماہی انوینٹری کے ذریعے اس پر عمل کی تصدیق کرنا

کمپنی A کے سیلز ڈیپارٹمنٹ کا اگلے ہفتے "گاہکوں کی معلومات کو باہر لے جانا اور محفوظ رکھنا" کے موضوع پر اندرونی آڈٹ طے ہے۔ عملاً سیلز کے کچھ عملے کے ارکان باضابطہ درخواست کے طریقۂ کار کو بوجھل سمجھ کر سپروائزر کی منظوری کے بغیر کسٹمر لسٹس ذاتی طور پر لی گئی کلاؤڈ اسٹوریج میں محفوظ کرتے رہے ہیں۔ سیلز ڈیپارٹمنٹ کے سربراہ نے ڈیپارٹمنٹ کی میٹنگ میں ہدایت دی: "چونکہ آڈٹ میں خراب جائزہ مسئلہ بنے گا، اس لیے جب تک پوچھا نہ جائے یہ بات نہ اٹھائیں۔" آپ، بطور لیڈر، متذبذب ہیں کہ اس ہدایت پر عمل کریں یا نہیں۔ آڈٹ کے بعد اصلاحی منصوبہ جمع کرانا ضروری ہوگا۔ سب سے موزوں طریقہ کیا ہے؟

1. ڈیپارٹمنٹ کے سربراہ کو مشورہ دینا کہ اصل صورتحال اور معاملات کی تعداد کو چھپائے بغیر، بنیادی وجہ — یعنی باضابطہ طریقۂ کار کا استعمال میں مشکل ہونا — اور اصلاحی منصوبے کے ساتھ بیان کریں
2. آڈٹ کی تاریخ سے پہلے ذاتی طور پر لی گئی کلاؤڈ اسٹوریج کی تمام فائلیں حذف کر دینا، اور ایسے وضاحت کرنا جیسے یہ طریقہ کبھی موجود ہی نہیں تھا
3. ڈیپارٹمنٹ کے سربراہ کی ہدایت پر عمل کرنا، رسمی انداز میں صرف وہی جواب دینا جو خاص طور پر پوچھا جائے، اور اپنی طرف سے اصل صورتحال نہ اٹھانا
4. چونکہ آڈٹ محض رسمی کارروائی ہے، اس لیے صرف طلب کیے گئے ریکارڈ جمع کرانے تک محدود رہنا، اور اصل صورتحال جاننے والے عملے کو شرکت سے باہر رکھنا

کمپنی A کے اندرونی آڈٹ میں آڈیٹر نے کاروباری ڈیپارٹمنٹ کے ایک عملے کے رکن سے کام کے طریقوں کے بارے میں انٹرویو کیا اور معاون ریکارڈ کی بھی جانچ کی۔ عملے کے رکن نے ہر آئٹم کے بارے میں وضاحت کی کہ "یہ ضابطے کے مطابق کیا جاتا ہے"، لیکن ریکارڈ کی حالت ہر آئٹم میں مختلف تھی۔ آڈیٹر سمجھتا ہے کہ فیصلے تک پہنچنے کے لیے وضاحتوں اور ریکارڈ کا آپس میں موازنہ ضروری ہے۔ جانچ کے نتائج درج ذیل جدول میں ہیں۔ آڈیٹر کے لیے سب سے موزوں فیصلہ کیا ہے؟

確認事項                            現場の説明    記録の状況------------------------------------------------------------特権IDの利用は都度申請し承認を得る  実施している  申請書はあるが承認欄が空欄サーバ室の入退室を記録する          実施している  入退室記録あり委託先への情報の持出しを台帳に記録  実施している  台帳がなく担当者の記憶のみ従業者教育を年1回実施する           実施している  受講記録あり

1. جن آئٹمز کا ریکارڈ نہیں، ان کے لیے آڈیٹر عملے کے رکن سے تفصیلی انٹرویو کر کے نیا رجسٹر بنائے، اور اسے جوں کا توں آڈٹ ثبوت سمجھے
2. چونکہ موقع پر کام کرنے والے وضاحت کرتے ہیں کہ اس پر عمل ہو رہا ہے، اس لیے ریکارڈ موجود ہو یا نہ ہو، کوئی مسئلہ نہ ہونے کا فیصلہ کرنا
3. خالی منظوری کے خانے والے درخواست فارم اور رجسٹر کے بغیر یادداشت پر منحصر باہر لے جانے کے معاملات کے لیے، چونکہ عمل درآمد کی تصدیق نہیں ہو سکتی، آڈٹ ثبوت کی کمی کو نشاندہی کے طور پر پیش کرنا
4. داخلے/اخراج کے ریکارڈ اور تربیت، جن کا ریکارڈ موجود ہے، کے لیے بھی اسی طرح نشاندہی کرنا کیونکہ صرف عملے کے رکن کی وضاحت ناکافی ہے

کمپنی A ہر سال معلوماتی سیکیورٹی کا اندرونی آڈٹ کرتی ہے اور آڈٹ رپورٹ تیار کرتی ہے۔ تاہم رپورٹ کو سیکرٹیریٹ محض فائل میں رکھ لیتا ہے، انتظامیہ کو رپورٹ کرنے کا کوئی فورم نہیں، اور یہ اگلے سال کے منصوبے یا بجٹ میں شامل نہیں ہوتی۔ نتیجتاً سال بہ سال تقریباً وہی نشاندہیاں سامنے آتی ہیں، اور موقع پر کام کرنے والے کہتے ہیں کہ "ویسے بھی کچھ نہیں بدلتا۔" اس سال کا آڈٹ بھی ابھی ختم ہوا ہے، اور آپ، بطور لیڈر، کو ابھی رپورٹ ملی ہے۔ سب سے موزوں طریقہ کیا ہے؟

1. یہ فیصلہ کرنا کہ چونکہ آڈٹ کے نتائج موقع کے کام سے متعلق ہیں، اس لیے انہیں انتظامیہ کو رپورٹ کرنے کی ضرورت نہیں
2. چونکہ آڈٹ جانچ کی سرگرمی ہے، اس لیے صرف آڈٹ کر لینے سے یہ سمجھنا کہ PDCA کا ایک چکر مکمل ہو گیا
3. چونکہ ہر سال وہی نشاندہیاں آنے کی وجہ آڈیٹر کا جامد نقطۂ نظر ہے، اس لیے ہر سال آڈٹ کے آئٹمز بدلنا تاکہ وہی نشاندہیاں دوبارہ نہ آئیں
4. ایک مینجمنٹ ریویو فورم قائم کرنا جہاں انتظامیہ آڈٹ کے نتائج، انسیڈنٹس کے واقعات اور اہداف کے حصول کی حد کا جائزہ لے، اور اس کے فیصلوں کو اگلے سال کے منصوبے اور وسائل کی تقسیم میں شامل کرنا

ایک گاہک کی درخواست پر کمپنی A پہلی بار ISMS سرٹیفیکیشن حاصل کرنے کی کوشش کر رہی ہے۔ سیکرٹیریٹ کا عملے کا رکن تجویز دیتا ہے: "چونکہ مقصد جائزے میں کامیاب ہونا ہے، اس لیے ضابطے کو کسی دوسری کمپنی کے نکھرے ہوئے ضابطے کی طرز پر بنا کر مثالی دکھائیں، اور جائزے کے لیے ریکارڈ بھی صاف ستھرا دکھنے کے لیے دوبارہ بنائیں۔" اصل طریقۂ کار کچھ جگہوں پر ضابطے کے مسودے سے ڈھیلا ہے — مثلاً داخلے/اخراج کے ریکارڈ ہر بار کے بجائے ہفتہ وار یکمشت درج کیے جاتے ہیں۔ جائزہ ضابطہ اور اصل طریقۂ کار دونوں جانچتا ہے۔ آپ، بطور لیڈر، کو اس طریقے پر تحفظات ہیں۔ سب سے موزوں طریقہ کیا ہے؟

1. موقع کے کام کے مطابق ضابطہ ختم کر کے معاملات کو ہر معاملے کی صوابدید پر چھوڑ دینا
2. ضابطے کو اس کے مطابق ڈھالنا جو کمپنی حقیقتاً کر سکتی ہے، تاکہ روزمرہ کام سے بننے والے ریکارڈ جوں کے توں ثبوت کے طور پر جمع کرائے جا سکیں
3. جن حصوں میں ضابطہ اور طریقۂ کار مختلف ہیں، وہاں صرف جائزے کی مدت کے دوران ضابطے کے مطابق کام کرنا، اور جائزہ ختم ہوتے ہی پچھلے طریقۂ کار پر لوٹ جانا
4. چونکہ مقصد جائزے میں کامیاب ہونا ہے، اس لیے ایک نیا مثالی دکھنے والا ضابطہ تیار کرنا، جائزے کے لیے ریکارڈ بھی سنوارنا، اور انہیں جمع کرانا

کمپنی A نے بیرونی جائزہ کروایا اور جائزہ لینے والے ادارے سے رپورٹ موصول ہوئی۔ رپورٹ نشاندہیوں کو زمروں میں تقسیم کرتی ہے، اور ہر زمرے کے لیے مطلوبہ ردِعمل اور آخری تاریخ مختلف ہے۔ سیکرٹیریٹ کا عملے کا رکن کہتا ہے: "چونکہ آئٹمز بہت ہیں، شاید ہمیں صرف انہی سے نمٹنا چاہیے جن کی واضح آخری تاریخ ہے۔" آپ، بطور لیڈر، ردِعمل کی پالیسی طے کرنے سے پہلے یہ ترتیب دینے کا فیصلہ کرتے ہیں کہ ہر زمرے کا کیا مطلب ہے۔ رپورٹ کا مواد درج ذیل جدول میں ہے۔ کمپنی A کا کون سا ردِعمل نامناسب ہوگا؟

区分          件数  求められる対応                        期限--------------------------------------------------------------重大な不適合  1     原因分析と是正計画の提出、是正の完了  30日以内に計画提出軽微な不適合  3     是正処置の実施                        次回審査まで改善の機会    5     対応は任意（推奨事項）                期限なし

1. چونکہ 5 بہتری کے مواقع کی کوئی آخری تاریخ نہیں اور ردِعمل اختیاری ہے، اس لیے ان کا کوئی ریکارڈ نہ رکھنا اور ان پر غور بھی نہ کرنا
2. کمپنی کے اندر ایسا نظام قائم کرنا جو فالو اپ کرے کہ اصلاحی اقدامات اپنی آخری تاریخ تک کیے گئے یا نہیں
3. چونکہ 3 معمولی عدم مطابقتوں کی بھی اصلاح ضروری ہے، اس لیے ہر ایک کے لیے ذمہ دار شخص اور اندرونی آخری تاریخ مقرر کرنا
4. سنگین عدم مطابقت کے لیے فوراً وجہ کا تجزیہ شروع کرنا اور 30 دن کے اندر اصلاحی منصوبہ جمع کرانے کی تیاری کرنا

کمپنی A کے اندرونی آڈٹ میں عدم مطابقت کی یہ نشاندہی ہوئی کہ "بنیادی سسٹم کے آپریشن لاگ صرف ایک ہفتے کے لیے محفوظ رکھے جاتے ہیں، اس لیے بددیانتی کا شبہ ہونے پر پیچھے جا کر سراغ لگانے کا کوئی طریقہ نہیں۔" اس کی اصلاح کے لیے اضافی اسٹوریج اور کنفیگریشن میں تبدیلی درکار ہے، جس کی لاگت کا تخمینہ کئی ملین ین ہے۔ انفارمیشن سسٹمز ڈیپارٹمنٹ نے جواب دیا: "چونکہ اس مالی سال کے بجٹ میں یہ شامل نہیں، ہم آگے نہیں بڑھ سکتے"، اور اصلاح کی آخری تاریخ میں صرف 2 ماہ باقی ہیں۔ آپ، بطور لیڈر، تین بار کارروائی کی درخواست کر چکے ہیں مگر صورتحال میں کوئی تبدیلی نہیں آئی، اور آپ محسوس کرتے ہیں کہ یہ صرف ڈیپارٹمنٹس کے باہمی تعاون سے حل نہیں ہو سکتا۔ سب سے موزوں طریقہ کیا ہے؟

1. اسے انفارمیشن سسٹمز ڈیپارٹمنٹ کا خطرہ قبول کرنے کا اپنا فیصلہ سمجھنا، اور لیڈر کا اسے درست شدہ کے طور پر نمٹا دینا
2. آڈٹ ڈیپارٹمنٹ سے فی الحال یہ نشاندہی واپس لینے کا کہنا، اور بندوبست کرنا کہ بجٹ دستیاب ہونے پر اگلے مالی سال یہی نشاندہی دوبارہ اٹھائی جائے
3. چونکہ بجٹ کے بغیر کچھ نہیں ہو سکتا، اس لیے اصلاح کی آخری تاریخ بڑھاتے رہنا اور صورتحال "جاری ہے" کے طور پر رپورٹ کرنا
4. سراغ نہ لگا سکنے کی صورت میں متوقع اثر، درکار وسائل، اور ردِعمل مؤخر ہونے کی صورت میں خطرہ کون قبول کرے گا، یہ ترتیب دے کر فیصلے کے لیے معاملہ انتظامیہ تک لے جانا