كيفية الحصول على شهادة الأيزو لأمن المعلومات

مقدمة

أصبحت المعلومات والبيانات من أهم الأصول التي تعتمد عليها المؤسسات في إدارة أعمالها واتخاذ قراراتها وتقديم خدماتها، ومع التحول الرقمي المتزايد أصبحت مخاطر فقدان البيانات أو تسريبها أو الوصول غير المصرح به إليها من أبرز التحديات التي تواجه مختلف المنشآت.

ولا تقتصر حماية المعلومات على تركيب برامج مكافحة الفيروسات أو استخدام جدران الحماية، وإنما تحتاج المنشأة إلى نظام إداري متكامل يساعدها على تحديد مخاطر أمن المعلومات، وتقييمها، ووضع الضوابط المناسبة للتعامل معها، ومتابعة فعاليتها بصورة مستمرة.

ويُعد ISO/IEC 27001 المعيار الدولي الأشهر لنظام إدارة أمن المعلومات (Information Security Management System – ISMS)، حيث يحدد المتطلبات اللازمة لإنشاء نظام إدارة يساعد المؤسسات على إدارة المخاطر المرتبطة بأمن المعلومات وحماية المعلومات التي تمتلكها أو تتعامل معها.

ويمكن تطبيق المعيار على المؤسسات بمختلف أحجامها وقطاعاتها، سواء كانت شركات تقنية، أو بنوكًا ومؤسسات مالية، أو مستشفيات، أو شركات خدمات، أو جهات حكومية، أو مؤسسات تعتمد بصورة كبيرة على البيانات والأنظمة الرقمية.

ويبحث كثير من أصحاب الشركات والمؤسسات عن كيفية الحصول على شهادة ISO/IEC 27001 لأمن المعلومات، وما المتطلبات اللازمة، وما المستندات والسجلات المطلوبة، وكيف يتم تقييم مخاطر أمن المعلومات، وكم تستغرق عملية التأهيل للحصول على الشهادة.

في هذا المقال الشامل، نستعرض خطوات تطبيق وتأهيل المنشأة للحصول على شهادة ISO/IEC 27001، بداية من تحديد نطاق نظام إدارة أمن المعلومات وتحليل الفجوات، مرورًا بتحديد الأصول والمخاطر واختيار الضوابط المناسبة، وحتى إجراء المراجعة الداخلية والاستعداد للتقييم الخارجي والحصول على الشهادة.

⚠️ تنبيه مهم:

الإصدار الحالي المنشور من معيار ISO/IEC 27001 هو ISO/IEC 27001:2022، بعنوان Information security, cybersecurity and privacy protection — Information security management systems — Requirements. وقد صدر Amendment 1:2024 لإضافة تعديلات مرتبطة باعتبارات العمل المناخي إلى متطلبات نظام الإدارة. أما ISO/IEC 27001:2013 فقد تم سحبه ولم يعد الإصدار الحالي.

ما هي شهادة الأيزو لأمن المعلومات؟

ISO/IEC 27001 هو معيار دولي يحدد متطلبات إنشاء وتنفيذ والحفاظ على وتحسين نظام إدارة أمن المعلومات (ISMS) داخل المؤسسة.

ويعتمد المعيار على منهج قائم على المخاطر، بحيث لا يتم التعامل مع جميع المعلومات والأنظمة بنفس الطريقة، وإنما تقوم المنشأة بتحديد مخاطر أمن المعلومات المرتبطة بنطاقها، وتقييمها، ثم اختيار وتنفيذ الضوابط المناسبة لمعالجتها.

ويهدف نظام إدارة أمن المعلومات إلى حماية المعلومات من المخاطر التي قد تؤثر على:

• سرية المعلومات (Confidentiality): منع الوصول غير المصرح به إلى المعلومات.
• سلامة المعلومات (Integrity): حماية المعلومات من التعديل أو التغيير غير المصرح به.
• توافر المعلومات (Availability): ضمان إمكانية الوصول إلى المعلومات والأنظمة عند الحاجة إليها.

ولا يقتصر ISO/IEC 27001 على حماية أنظمة الحاسب والشبكات فقط، بل يتناول إدارة أمن المعلومات باعتبارها نظامًا إداريًا يشمل الأشخاص والعمليات والتقنيات والمعلومات والأصول المرتبطة بنطاق النظام.

ومن أمثلة المعلومات والأصول التي يمكن أن تدخل ضمن نطاق نظام إدارة أمن المعلومات:

• بيانات العملاء.
• البيانات المالية والمحاسبية.
• بيانات الموظفين.
• قواعد البيانات.
• الأنظمة والتطبيقات.
• أجهزة الحاسب والخوادم.
• الشبكات والبنية التحتية التقنية.
• الخدمات السحابية.
• المستندات والملفات الورقية.
• أجهزة التخزين والوسائط المختلفة.
• المعلومات التي يتم تبادلها مع الموردين والعملاء.

هل الحصول على شهادة الأيزو لأمن المعلومات إلزامي؟

لا توجد قاعدة عامة تجعل الحصول على شهادة ISO/IEC 27001 إلزاميًا لجميع المؤسسات، ولكن قد تطلب بعض الجهات التنظيمية أو العملاء أو العقود أو المناقصات وجود نظام لإدارة أمن المعلومات أو شهادة مطابقة وفق متطلبات محددة.

وقد تسعى المنشأة للحصول على الشهادة بهدف:

• تعزيز حماية المعلومات والبيانات.
• تحسين إدارة مخاطر الأمن السيبراني والمعلومات.
• تلبية متطلبات العملاء والشركاء.
• دعم الدخول في بعض المناقصات والتعاقدات.
• إثبات وجود نظام منهجي لإدارة أمن المعلومات.
• تعزيز الثقة لدى العملاء والأطراف المعنية.
• تحسين التعامل مع الحوادث الأمنية.
• رفع مستوى الوعي الأمني لدى العاملين.

ومن المهم التفرقة بين تطبيق نظام إدارة أمن المعلومات ISO/IEC 27001 وبين الحصول على الشهادة؛ فتطبيق النظام يعني إنشاء وتشغيل النظام داخل المؤسسة، بينما الحصول على الشهادة يتطلب تقييمًا من جهة منح مستقلة وفق نطاق الشهادة ومتطلبات التقييم.

لماذا تحتاج المنشآت إلى شهادة الأيزو لأمن المعلومات؟

تعتمد المؤسسات الحديثة على المعلومات في مختلف عملياتها، ولذلك فإن ضعف إدارة أمن المعلومات قد يؤدي إلى مخاطر مثل فقدان البيانات أو تسريبها أو التلاعب بها أو توقف الأنظمة والخدمات.

ويساعد ISO/IEC 27001 المؤسسات على إنشاء نظام لإدارة المخاطر المتعلقة بأمن المعلومات بصورة منهجية، مع تطبيق ضوابط مناسبة ومتابعة وتحسين النظام بصورة مستمرة.

ومن أهم فوائد تطبيق ISO/IEC 27001:

• تحديد مخاطر أمن المعلومات بصورة منهجية.
• حماية سرية المعلومات وسلامتها وتوافرها.
• تقليل احتمالية حدوث تسرب أو فقدان للبيانات.
• تحسين إدارة مخاطر الأمن السيبراني.
• رفع مستوى الوعي بأمن المعلومات لدى الموظفين.
• تنظيم صلاحيات الوصول إلى المعلومات والأنظمة.
• تحسين إدارة الحوادث الأمنية والاستجابة لها.
• دعم استمرارية الخدمات والأنظمة المعلوماتية.
• تحسين إدارة الموردين والأطراف الخارجية.
• تعزيز ثقة العملاء والشركاء.
• دعم متطلبات العقود والمناقصات التي تشترط مستوى معينًا من أمن المعلومات.
• توفير منهج منظم لمتابعة الضوابط الأمنية وقياس فعاليتها.
• دعم التحسين المستمر لنظام إدارة أمن المعلومات.

ما متطلبات الحصول على شهادة الأيزو لأمن المعلومات؟

يتطلب تطبيق ISO/IEC 27001 إنشاء نظام إدارة أمن معلومات يتناسب مع طبيعة المؤسسة ونطاقها والبيانات والأنظمة التي تتعامل معها.

ومن أهم المتطلبات:

1. تحديد سياق المؤسسة ونطاق نظام إدارة أمن المعلومات

يجب تحديد العوامل الداخلية والخارجية المؤثرة على أمن المعلومات، والأطراف المعنية ومتطلباتها، ثم تحديد نطاق نظام إدارة أمن المعلومات بوضوح.

ويجب أن يوضح النطاق المواقع والعمليات والأنظمة والخدمات والمعلومات التي يشملها النظام.

2. تحديد أصول المعلومات

تحتاج المنشأة إلى حصر الأصول والمعلومات والأنظمة المهمة ضمن نطاق النظام، وتحديد مالكي الأصول والمسؤوليات المتعلقة بها.

3. تحديد مخاطر أمن المعلومات وتقييمها

يتم تحديد المخاطر التي يمكن أن تؤثر على سرية المعلومات أو سلامتها أو توافرها، ثم تقييم مستوى هذه المخاطر وفق منهجية محددة.

4. معالجة مخاطر أمن المعلومات

بعد تقييم المخاطر، يتم تحديد طريقة التعامل معها، مثل تقليل المخاطر من خلال الضوابط المناسبة، أو تجنب النشاط المسبب للمخاطر، أو نقل المخاطر، أو قبولها وفق معايير المؤسسة.

5. اختيار الضوابط الأمنية المناسبة

يتم تحديد الضوابط المناسبة لمعالجة المخاطر، مع الاستفادة من Annex A ضمن ISO/IEC 27001 في سياق عملية معالجة المخاطر، وليس باعتباره قائمة منفصلة يجب تطبيقها بشكل آلي دون تحليل المخاطر.

6. إدارة الموارد والصلاحيات

تحديد المسؤوليات والصلاحيات، وتطبيق ضوابط مناسبة للوصول إلى المعلومات والأنظمة، والتأكد من كفاءة العاملين ووعيهم بمسؤوليات أمن المعلومات.

7. إدارة الحوادث الأمنية

وضع آليات واضحة لاكتشاف حوادث أمن المعلومات والإبلاغ عنها والاستجابة لها والتحقيق فيها واستخلاص الدروس منها.

8. المتابعة والمراجعة والتحسين

يجب قياس أداء نظام إدارة أمن المعلومات، وإجراء المراجعات الداخلية، ومراجعة الإدارة، ومعالجة حالات عدم المطابقة، وتحسين النظام بصورة مستمرة.

أهم المستندات والسجلات المطلوبة لتطبيق نظام الأيزو لأمن المعلومات

تختلف المعلومات الموثقة المطلوبة بحسب طبيعة المؤسسة ونطاق نظام إدارة أمن المعلومات، ولكن من أهم الوثائق والسجلات التي قد تدخل ضمن النظام:

نوع المستند	أهم الوثائق والسجلات
سياق ونطاق النظام	• نطاق نظام إدارة أمن المعلومات. • تحديد سياق المؤسسة. • تحديد الأطراف المعنية ومتطلباتها.
السياسة والمسؤوليات	• سياسة أمن المعلومات. • الهيكل التنظيمي. • تحديد المسؤوليات والصلاحيات.
الأصول والمعلومات	• سجل أصول المعلومات. • تحديد مالكي الأصول. • تصنيف المعلومات وفق منهجية المؤسسة.
إدارة المخاطر	• منهجية تقييم مخاطر أمن المعلومات. • سجل المخاطر. • نتائج تقييم المخاطر. • خطط معالجة المخاطر.
الضوابط الأمنية	• بيان قابلية التطبيق (Statement of Applicability – SoA). • مبررات اختيار أو استبعاد الضوابط ضمن نطاق التقييم.
التحكم في الوصول	• سياسات وإجراءات إدارة صلاحيات الوصول. • سجلات منح وتعديل وإلغاء الصلاحيات.
أمن الموارد البشرية	• إجراءات أمن المعلومات المتعلقة بالموظفين. • سجلات التوعية والتدريب. • متطلبات أمن المعلومات عند التعيين أو إنهاء الخدمة بحسب النظام المطبق.
أمن الأنظمة والشبكات	• إجراءات الحماية التقنية. • سجلات النسخ الاحتياطي. • إدارة التحديثات والثغرات بحسب نطاق النظام.
الحوادث الأمنية	• إجراءات الإبلاغ عن الحوادث. • سجل الحوادث الأمنية. • سجلات التحقيق والإجراءات التصحيحية.
الموردون والأطراف الخارجية	• تقييم مخاطر الموردين. • متطلبات أمن المعلومات في العقود والاتفاقيات عند الحاجة. • سجلات متابعة أداء الموردين.
الاستمرارية والتعافي	• خطط وإجراءات استمرارية خدمات تقنية المعلومات أو التعافي من الأعطال بحسب نطاق النظام. • نتائج الاختبارات ذات الصلة.
المراجعة والتحسين	• تقارير المراجعة الداخلية. • حالات عدم المطابقة والإجراءات التصحيحية. • نتائج مراجعة الإدارة. • سجلات التحسين المستمر.

خطوات الحصول على شهادة الأيزو لأمن المعلومات بالتفصيل

تمر عملية تأهيل المؤسسة للحصول على شهادة ISO/IEC 27001 بمجموعة من المراحل المترابطة، ويمكن تنظيمها في 8 خطوات رئيسية:

1. تحديد الهدف ونطاق نظام إدارة أمن المعلومات

تبدأ المنشأة بتحديد الهدف من تطبيق ISO/IEC 27001 وتحديد نطاق النظام.

ويجب تحديد المواقع والأنظمة والعمليات والخدمات والمعلومات التي سيتم إدراجها ضمن النطاق، بالإضافة إلى تحديد الأطراف المعنية والمتطلبات القانونية والتنظيمية والتعاقدية ذات الصلة.

ويُعد تحديد النطاق من أهم الخطوات؛ لأن تقييم المخاطر والضوابط والمراجعة الخارجية ستُبنى عليه.

2. إجراء تقييم مبدئي وتحليل الفجوات (Gap Analysis)

يتم تقييم الوضع الحالي للمؤسسة ومقارنته بمتطلبات ISO/IEC 27001.

وقد يشمل ذلك مراجعة:

• السياسات والإجراءات الحالية.
• إدارة الأصول والمعلومات.
• صلاحيات الوصول.
• حماية الأنظمة والشبكات.
• النسخ الاحتياطي.
• إدارة الحوادث.
• أمن الموردين.
• التوعية والتدريب.
• إدارة المخاطر.
• الضوابط الأمنية الحالية.
• المراجعة الداخلية والتحسين.

يساعد تحليل الفجوات على تحديد نقاط الضعف ووضع خطة عمل واضحة لمعالجتها قبل التقييم الخارجي.

3. حصر الأصول والمعلومات وتحديد المخاطر

يتم تحديد المعلومات والأصول والأنظمة التي تدخل ضمن نطاق النظام، ثم تحديد المخاطر التي قد تؤثر عليها.

وقد تشمل المخاطر، بحسب طبيعة المؤسسة:

• الوصول غير المصرح به.
• تسريب البيانات.
• البرمجيات الخبيثة.
• فقدان البيانات.
• التلاعب بالمعلومات.
• سرقة الأجهزة أو وسائط التخزين.
• تعطل الأنظمة.
• أخطاء المستخدمين.
• مخاطر الموردين والأطراف الخارجية.
• الثغرات الأمنية.
• مخاطر الخدمات السحابية.

ثم يتم تقييم المخاطر وفق منهجية معتمدة داخل المؤسسة وتحديد أولويات المعالجة.

4. إعداد خطة معالجة المخاطر وبيان قابلية التطبيق (SoA)

بعد تقييم المخاطر، يتم تحديد الضوابط التي تحتاج المؤسسة إلى تطبيقها لمعالجة المخاطر.

ويتم إعداد بيان قابلية التطبيق (Statement of Applicability – SoA) لتوثيق الضوابط التي تم تحديدها ضمن نظام إدارة أمن المعلومات، مع توضيح حالة تطبيقها والمبررات المتعلقة باختيارها أو استبعادها وفق منهجية المؤسسة ونطاق النظام.

وتُعد هذه المرحلة من المراحل المهمة في التأهيل، لأنها تربط بين تقييم المخاطر والضوابط الأمنية التي يتم تطبيقها.

5. تطوير السياسات والإجراءات وتطبيق الضوابط الأمنية

يتم إعداد أو تطوير السياسات والإجراءات اللازمة، ثم تطبيق الضوابط المناسبة على أرض الواقع.

وقد تشمل الضوابط والإجراءات:

• إدارة صلاحيات الوصول.
• تصنيف المعلومات.
• حماية كلمات المرور وبيانات الدخول.
• النسخ الاحتياطي.
• حماية الأجهزة والأنظمة.
• إدارة الثغرات والتحديثات.
• التوعية بأمن المعلومات.
• إدارة الحوادث الأمنية.
• أمن الموردين.
• حماية المعلومات أثناء نقلها وتخزينها.
• إدارة الأصول.
• التعامل مع المعلومات الورقية والإلكترونية وفق نطاق النظام.

ويجب أن تكون الضوابط متناسبة مع المخاطر الفعلية للمؤسسة، وليس مجرد تطبيق إجراءات عامة لا ترتبط باحتياجاتها.

6. تدريب العاملين وتشغيل النظام فعليًا

لا يكفي إعداد السياسات والإجراءات، بل يجب تطبيق نظام إدارة أمن المعلومات فعليًا.

ويتم تدريب العاملين على مسؤولياتهم، ورفع الوعي بالمخاطر الأمنية، وتطبيق إجراءات الوصول والتعامل مع المعلومات والإبلاغ عن الحوادث وغيرها من الضوابط ذات الصلة.

كما تبدأ المؤسسة في تكوين السجلات والأدلة التي تثبت تنفيذ النظام وفعاليته.

7. إجراء المراجعة الداخلية ومراجعة الإدارة والتحسين

بعد تطبيق النظام، يتم إجراء المراجعة الداخلية (Internal Audit) للتحقق من مدى توافق نظام إدارة أمن المعلومات مع متطلبات ISO/IEC 27001 ومدى فعاليته في الواقع.

ويتم أيضًا تحليل نتائج تقييم المخاطر، والحوادث الأمنية، ومؤشرات الأداء، ونتائج المراجعة، وحالات عدم المطابقة، ثم اتخاذ الإجراءات التصحيحية اللازمة.

كما تقوم الإدارة بمراجعة النظام ونتائجه واتخاذ القرارات المناسبة بشأن التحسين.

8. التقييم الخارجي والحصول على شهادة ISO/IEC 27001

بعد التأكد من جاهزية نظام إدارة أمن المعلومات، يتم اختيار جهة منح مستقلة ومناسبة لنطاق الشهادة.

وتتم عملية التقييم الخارجي وفق قواعد جهة المنح، وعادةً تتضمن عملية الشهادة مرحلتين رئيسيتين:

المرحلة	ما يتم تقييمه
المرحلة الأولى (Stage 1)	مراجعة جاهزية المؤسسة ونطاق نظام إدارة أمن المعلومات، وفهم السياق، والمعلومات الموثقة، وتقييم المخاطر، والاستعداد للمرحلة الثانية.
المرحلة الثانية (Stage 2)	تقييم التطبيق الفعلي للنظام، وفحص الأدلة والسجلات، وإجراء المقابلات، والتحقق من تنفيذ الضوابط والإجراءات وفاعلية النظام داخل نطاق الشهادة.

وفي حالة ظهور حالات عدم مطابقة، يتم التعامل معها وفق إجراءات جهة المنح، وبعد استكمال متطلبات التقييم واتخاذ قرار المنح وفق قواعد برنامج الشهادة، يمكن إصدار شهادة ISO/IEC 27001 للمؤسسة ضمن النطاق المحدد.

أهم الأخطاء التي يجب تجنبها عند التأهيل لشهادة ISO/IEC 27001

هناك مجموعة من الأخطاء التي قد تؤدي إلى ضعف نظام إدارة أمن المعلومات أو ظهور حالات عدم مطابقة أثناء التقييم الخارجي، ومن أهمها:

• تحديد نطاق واسع وغير واقعي: إدخال أنظمة ومواقع وخدمات كثيرة دون القدرة على إدارتها ومراقبتها بفعالية.
• الاعتماد على سياسات جاهزة: استخدام سياسات عامة لا تعكس طبيعة المؤسسة ومخاطرها الفعلية.
• عدم إجراء تقييم حقيقي للمخاطر: إعداد سجل مخاطر شكلي دون ربطه بالأصول والمعلومات والتهديدات الفعلية.
• تطبيق الضوابط بصورة عشوائية: محاولة تطبيق جميع الضوابط دون ربطها بنتائج تقييم المخاطر ونطاق النظام.
• إهمال Statement of Applicability: عدم إعداد بيان قابلية التطبيق أو عدم تحديثه بما يتوافق مع النظام الفعلي.
• ضعف إدارة صلاحيات الوصول: منح الموظفين صلاحيات أكبر من احتياجات وظائفهم أو عدم مراجعة الصلاحيات دوريًا.
• إهمال أمن الموردين: عدم تقييم مخاطر الأطراف الخارجية التي تتعامل مع بيانات المؤسسة أو أنظمتها.
• ضعف إدارة الحوادث: عدم وجود آلية واضحة للإبلاغ عن الحوادث الأمنية والتعامل معها.
• عدم تدريب العاملين: اعتبار أمن المعلومات مسؤولية قسم تقنية المعلومات فقط.
• السجلات الصورية: إنشاء سجلات لم يتم تنفيذ الأنشطة الخاصة بها فعليًا.
• عدم إجراء المراجعة الداخلية: الانتقال إلى التقييم الخارجي دون اختبار النظام داخليًا.
• عدم تحديث تقييم المخاطر: ترك تقييم المخاطر دون مراجعة عند حدوث تغييرات مهمة في الأنظمة أو الخدمات أو العمليات.

ما المدة اللازمة للحصول على شهادة الأيزو لأمن المعلومات؟

تختلف مدة التأهيل للحصول على شهادة ISO/IEC 27001 من مؤسسة إلى أخرى، ولا توجد مدة موحدة يمكن تطبيقها على جميع المنشآت.

وتعتمد المدة على عدة عوامل، منها:

• حجم المؤسسة وعدد المواقع.
• عدد الأنظمة والتطبيقات المشمولة في النطاق.
• طبيعة المعلومات والبيانات التي تتم معالجتها.
• مستوى المخاطر الأمنية.
• مدى جاهزية البنية التحتية التقنية.
• وجود سياسات وإجراءات أمن معلومات سابقة.
• مستوى نضج إدارة المخاطر.
• جاهزية العاملين.
• عدد الفجوات التي يتم اكتشافها أثناء التقييم المبدئي.
• سرعة تنفيذ الإجراءات التصحيحية.

لذلك قد تحتاج المؤسسة التي لديها نظام أمن معلومات قائم إلى فترة أقصر من مؤسسة تبدأ من الصفر.

ويُفضل البدء بإجراء تحليل الفجوات (Gap Analysis) لتحديد مستوى الجاهزية ووضع جدول زمني واقعي للتأهيل.

كيف تساعدك ملاذ الجودة والتميز في التأهيل للحصول على شهادة الأيزو لأمن المعلومات؟

إذا كنت تبحث عن كيفية الحصول على شهادة ISO/IEC 27001 لأمن المعلومات وترغب في تطوير نظام فعال لإدارة وحماية المعلومات داخل منشأتك، فإن دار الجودة والتميز تقدم الدعم الفني خلال مراحل التأهيل، ومنها:

• تقييم الوضع الحالي للمؤسسة وإجراء دراسة الفجوات (Gap Analysis).
• تحديد نطاق نظام إدارة أمن المعلومات.
• تحديد الأصول والمعلومات والأنظمة المشمولة ضمن النطاق.
• المساعدة في تحديد وتقييم مخاطر أمن المعلومات.
• إعداد وتطوير منهجية إدارة المخاطر.
• إعداد خطط معالجة المخاطر.
• إعداد وتطوير السياسات والإجراءات الخاصة بأمن المعلومات.
• المساعدة في اختيار وتطبيق الضوابط الأمنية المناسبة.
• إعداد وتحديث بيان قابلية التطبيق (Statement of Applicability – SoA).
• تطوير إجراءات إدارة الوصول والصلاحيات.
• تطوير إجراءات إدارة الحوادث الأمنية.
• المساعدة في تطوير ضوابط أمن الموردين والأطراف الخارجية.
• إعداد النماذج والسجلات والمعلومات الموثقة المطلوبة.
• تدريب وتوعية العاملين بمسؤوليات أمن المعلومات.
• إجراء المراجعات الداخلية ومحاكاة التقييم الخارجي.
• المساعدة في معالجة حالات عدم المطابقة.
• تقديم الدعم الفني أثناء التقييم الخارجي وفق نطاق الخدمة المتفق عليه.

ابدأ خطواتك نحو حماية أفضل لمعلومات منشأتك

هل ترغب في بناء نظام متكامل لإدارة أمن المعلومات وتقليل المخاطر المرتبطة بالبيانات والأنظمة والخدمات الرقمية داخل منشأتك؟

تواصل الآن مع خبراء دار الجودة والتميز للحصول على تقييم مبدئي لوضع منشأتك والتعرف على الخطوات المناسبة لتطبيق ISO/IEC 27001 والتأهل للحصول على الشهادة.

الأسئلة الشائعة حول شهادة الأيزو لأمن المعلومات (FAQ)

ما هو ISO/IEC 27001؟

ISO/IEC 27001 هو المعيار الدولي الخاص بنظام إدارة أمن المعلومات (ISMS)، ويحدد المتطلبات التي يجب أن يستوفيها نظام إدارة أمن المعلومات داخل المؤسسة، مع الاعتماد على منهج قائم على إدارة المخاطر.

ما هو الإصدار الحالي من ISO/IEC 27001؟

الإصدار الحالي المنشور هو ISO/IEC 27001:2022، وقد صدر له Amendment 1:2024 المتعلق باعتبارات العمل المناخي. أما إصدار ISO/IEC 27001:2013 فقد تم سحبه.

هل الحصول على شهادة ISO/IEC 27001 إلزامي؟

لا توجد قاعدة عامة تجعل الحصول على الشهادة إلزاميًا لجميع المؤسسات، ولكن قد تكون مطلوبة في بعض العقود أو المناقصات أو متطلبات العملاء والجهات التنظيمية.

هل ISO/IEC 27001 خاص بشركات تكنولوجيا المعلومات فقط؟

لا. يمكن تطبيق ISO/IEC 27001 على المؤسسات بمختلف القطاعات والأحجام، لأن جميع المؤسسات تقريبًا تتعامل مع معلومات تحتاج إلى الحماية، سواء كانت إلكترونية أو ورقية.

ما المقصود بنظام إدارة أمن المعلومات ISMS؟

هو نظام إداري متكامل تستخدمه المؤسسة لإدارة أمن المعلومات، ويتضمن تحديد المخاطر وتقييمها ومعالجتها، ووضع السياسات والإجراءات والضوابط، ومراقبة الأداء والتحسين المستمر.

ما المقصود بـ CIA Triad في أمن المعلومات؟

يشير المصطلح إلى ثلاثة أهداف أساسية لأمن المعلومات:

• Confidentiality – السرية: حماية المعلومات من الوصول غير المصرح به.
• Integrity – السلامة: منع التعديل أو التغيير غير المصرح به.
• Availability – التوافر: ضمان إمكانية الوصول إلى المعلومات والأنظمة عند الحاجة.

ما هو Statement of Applicability (SoA)؟

هو بيان قابلية التطبيق الذي يوثق الضوابط التي تم تحديدها ضمن نظام إدارة أمن المعلومات، وحالة تطبيقها والمبررات المتعلقة بها وفق نطاق النظام ومنهجية معالجة المخاطر.

ما علاقة ISO/IEC 27001 بالأمن السيبراني؟

ISO/IEC 27001 يوفر إطارًا لنظام إدارة أمن المعلومات يساعد المؤسسة على إدارة المخاطر المرتبطة بالمعلومات والأنظمة والتقنيات والأشخاص والعمليات. وهو ليس مجرد معيار تقني للأمن السيبراني، بل نظام إدارة متكامل قائم على المخاطر.

ما الفرق بين ISO/IEC 27001 وISO/IEC 27002؟

يركز ISO/IEC 27001 على متطلبات نظام إدارة أمن المعلومات التي يمكن أن تكون أساسًا للتقييم وإصدار الشهادة، بينما يوفر ISO/IEC 27002 إرشادات وممارسات وضوابط لأمن المعلومات تساعد المؤسسات في اختيار وتنفيذ الضوابط المناسبة.

هل يجب الاستعانة بمكتب استشارات للحصول على ISO/IEC 27001؟

ليس شرطًا أن تستعين المؤسسة بمكتب استشارات، ولكن الاستعانة بجهة متخصصة قد تساعد في إجراء تحليل الفجوات، وتقييم المخاطر، وتطوير النظام والوثائق، وتدريب العاملين، وإجراء المراجعة الداخلية والاستعداد للتقييم الخارجي.

ما أهم المستندات المطلوبة لتطبيق ISO/IEC 27001؟

تختلف الوثائق حسب طبيعة المؤسسة ونطاق النظام، ولكن من أهمها: نطاق نظام إدارة أمن المعلومات، سياسة أمن المعلومات، منهجية تقييم المخاطر، سجل المخاطر، خطط معالجة المخاطر، بيان قابلية التطبيق (SoA)، سياسات وإجراءات التحكم في الوصول، إدارة الحوادث، سجلات التدريب والتوعية، سجلات المراجعة الداخلية، ونتائج مراجعة الإدارة والإجراءات التصحيحية.

هل شهادة ISO/IEC 27001 دائمة؟

لا. تخضع الشهادة لدورة الشهادة والمراجعات الدورية وفق قواعد جهة المنح وبرنامج الشهادة، ويجب على المؤسسة الاستمرار في تشغيل نظام إدارة أمن المعلومات والحفاظ على فعاليته واستيفاء متطلبات المتابعة والتجديد.

هل ISO/IEC 27001 يحمي المؤسسة من الاختراقات بشكل كامل؟

لا يمكن لأي نظام أن يضمن القضاء الكامل على جميع المخاطر أو منع جميع الحوادث الأمنية. الهدف هو إنشاء منهج منظم لتحديد مخاطر أمن المعلومات وتقييمها ومعالجتها وتطبيق الضوابط المناسبة ومتابعة فعاليتها والتحسين المستمر.

ما أهمية ISO/IEC 27001 للشركات التي تتعامل مع بيانات العملاء؟

يساعد النظام على تنظيم طريقة إدارة وحماية المعلومات والبيانات ضمن نطاق المؤسسة، وتحديد المخاطر والضوابط والمسؤوليات، وهو ما يمكن أن يعزز ثقة العملاء والشركاء ويدعم بعض المتطلبات التعاقدية والتنظيمية المتعلقة بأمن المعلومات.

ما مدة الحصول على شهادة ISO/IEC 27001؟

تختلف مدة التأهيل حسب حجم المؤسسة ونطاق النظام وعدد المواقع والأنظمة المشمولة ومدى جاهزية الإجراءات والضوابط الحالية. لذلك يُنصح بإجراء تحليل للفجوات لتحديد المدة المناسبة وخطة التأهيل المطلوبة.