ما هو ISO/IEC 27001؟
ISO/IEC 27001 هو المعيار الدولي الرائد لأنظمة إدارة أمن المعلومات (ISMS)، الصادر عن المنظمة الدولية للتوحيد القياسي (ISO). قدمت مراجعة 2022 (ISO 27001:2022) مجموعة ضوابط ملحق A المعدلة والمتوافقة مع ISO 27002:2022، مع تقليص الضوابط من 114 إلى 93 ضابطًا عبر 4 محاور.
تُثبت الشهادة أن المؤسسة قد قيّمت مخاطر أمن المعلومات لديها وطبقت ضوابط مناسبة ضمن إطار إدارة منهجي — خاضع لتدقيق مستقل من طرف ثالث.
من يحتاج إلى ISO 27001؟
- شركات التقنية و SaaS التي تتعامل مع عملاء مؤسسات B2B
- مؤسسات الخدمات المالية والبنوك ومعالجة المدفوعات
- شركات الرعاية الصحية والتقنية الطبية التي تتعامل مع بيانات المرضى
- المقاولون الحكوميون والقطاع العام
- مراكز البيانات ومزودو الخدمات السحابية ومزودو الخدمات المدارة
- أي مؤسسة تستجيب لاستبيانات أمان العملاء أو المشتريات
ISO 27001:2022 — التغييرات الرئيسية عن 2013
يُطلب من المؤسسات المعتمدة بموجب ISO 27001:2013 الانتقال إلى إصدار 2022. تشمل التغييرات الرئيسية:
- إعادة هيكلة الملحق A إلى 4 محاور: تنظيمية، بشرية، مادية، تقنية
- إضافة 11 ضابطًا جديدًا، بما في ذلك استخبارات التهديدات وأمان السحابة وإخفاء البيانات
- تقليص إجمالي الضوابط من 114 إلى 93 (تم دمج بعضها)
- زيادة التوافق مع معايير أنظمة الإدارة ISO الأخرى (الهيكل عالي المستوى)
نطاق شهادة ISO 27001
يُعد تحديد النطاق خطوة حاسمة في عملية الشهادة. يحدد النطاق أصول المعلومات والعمليات والمواقع والوحدات التنظيمية التي تقع ضمن حدود ISMS. تتضمن مرحلة تحليل الفجوات في BALTUM إرشادات مفصلة لتحديد النطاق لضمان أن يكون ذا معنى لأصحاب المصلحة وقابلًا للتحقيق ضمن الجدول الزمني المستهدف.
مشروع BALTUM: مرحلة بمرحلة
- المرحلة 1 — تحليل الفجوات وتحديد النطاق: تقييم الوضع الراهن مقابل متطلبات ISO 27001:2022. سجل الفجوات. وثيقة النطاق. خارطة طريق المشروع.
- المرحلة 2 — توثيق ISMS: سياسة أمن المعلومات، ومنهجية تقييم المخاطر ومعالجتها، وبيان قابلية التطبيق، والإجراءات، وتوثيق الضوابط.
- المرحلة 3 — دعم التنفيذ: إرشادات تطبيق الضوابط، والتدقيق الداخلي، وتيسير مراجعة الإدارة.
- المرحلة 4 — تدقيق الشهادة: المرحلة 1 مراجعة وثائقية والمرحلة 2 تدقيق في الموقع/عن بُعد من هيئة شهادات معتمدة.
- المرحلة 5 — المراقبة: تدقيقات مراقبة سنوية والتخطيط لإعادة الشهادة كل ثلاث سنوات.
الجدول الزمني المعتاد
لمؤسسة متوسطة الحجم (50-500 موظف) تسعى للشهادة الأولى: من 3 إلى 6 أشهر من الانطلاق إلى إصدار الشهادة. تعتمد الجداول الزمنية على حجم المؤسسة ومستوى النضج الحالي وتوفر الموارد الداخلية. تقدم BALTUM خطة مشروع قائمة على المعالم في بداية كل مشروع.
التكامل مع المعايير الأخرى
كثيرًا ما يُطبق ISO 27001 إلى جانب معايير تكميلية. تقدم BALTUM برامج متكاملة تتشارك التوثيق والضوابط وأنشطة التدقيق:
- ISO 27001 + ISO 27701 (إدارة معلومات الخصوصية)
- ISO 27001 + ISO 22301 (استمرارية الأعمال)
- ISO 27001 + ISO 42001 (نظام إدارة الذكاء الاصطناعي)
- ISO 27001 + SOC 2 (إطار أدلة موحد)
- ISO 27001 + PCI DSS (القطاع المالي)