ما هو ISO 27001؟ دليل مبسّط وواضح لمعيار أمن المعلومات

ISO 27001 هو معيار دولي، صادر بالاشتراك بين المنظمة الدولية للتوحيد القياسي واللجنة الكهروتقنية الدولية، يحدّد متطلبات نظام إدارة أمن المعلومات. والإصدار الحالي هو ISO/IEC 27001:2022.

والفكرة الجوهرية هي نظام الإدارة، ويُختصر عادةً إلى ISMS. ونظام إدارة أمن المعلومات ليس منتجًا تثبّته. بل هو مجموعة من السياسات والعمليات والمسؤوليات والسجلّات التي تتيح لمؤسستك مجتمعةً إدارة أمن المعلومات بطريقة مدروسة وقابلة للتكرار. ولا يهتمّ المعيار كثيرًا بالأدوات المحدّدة التي تستخدمها بقدر ما يهتمّ بما إذا كنت تفهم مخاطرك، وقرّرت ما ستفعله حيالها، وتستطيع إثبات أن النظام يظلّ فعّالًا مع مرور الوقت.

ولأنه قائم على المخاطر، فإن ISO 27001 لا يمنحك قائمة ثابتة بأشياء يجب على كل شركة فعلها. بل يطلب منك تقييم المخاطر التي تتهدّد معلوماتك، وتقرير كيفية معالجتها، وتبرير اختياراتك. ولهذا السبب قد تبدو مؤسستان مُصدَّقتان مختلفتين تمامًا من الداخل بينما تكونان ممتثلتين امتثالًا كاملًا.

ومن المفيد التمييز بين رقمين ستصادفهما. فـ ISO 27001 هو المعيار القابل للتصديق، أي المتطلبات التي تُقاس وفقها. أما ISO 27002 فهو وثيقة إرشادية مرافقة تشرح كيف يمكن تطبيق الضوابط. فأنت تحصل على التصديق وفق 27001؛ وتقرأ 27002 للاسترشاد.

يُنظَّم المتن الرئيسي من ISO 27001 في بنود. فالبنود من 1 إلى 3 تمهيدية. أما المتطلبات التي تُدقَّق فعلًا وفقها فتقع في البنود من 4 إلى 10، وهي تصف مجتمعةً دورة حياة تشغيل نظام إدارة أمن المعلومات.

البند 4، سياق المؤسسة. تحدّد ما يشمله نظام إدارة أمن المعلومات لديك، ومن هم الأطراف المعنيّة، مثل العملاء والجهات التنظيمية والموظفين، وما الذي يتوقّعونه منك. وهنا أيضًا تحدّد النطاق، أي حدود ما هو مشمول وما هو غير مشمول.

البند 5، القيادة. يتعيّن على الإدارة العليا أن تتبنّى نظام إدارة أمن المعلومات، وأن تضع سياسة لأمن المعلومات، وأن تسنِد أدوارًا ومسؤوليات واضحة. فلا يمكن أن يكون الأمن شيئًا يُفوَّض بهدوء إلى مهندس واحد ثم يُنسى.

البند 6، التخطيط. وهذا هو قلب المعيار. تُجري تقييمًا للمخاطر لتحديد ما قد يسوء، ثم خطة لمعالجة المخاطر لتقرير ما ستفعله حيال كل خطر. كما تضع أهدافًا أمنية قابلة للقياس.

البند 7، الدعم. أي الموارد والأشخاص والمهارات والوعي والمعلومات الموثّقة اللازمة لجعل النظام يعمل. ويشمل ذلك تدريب الموظفين وضبط السجلّات.

البند 8، التشغيل. أي القيام فعليًا بما خطّطت له: إجراء تقييم المخاطر ومعالجتها وفق جدول زمني والاحتفاظ بأدلة على أن الضوابط تعمل يومًا بيوم.

البند 9، تقييم الأداء. أي قياس ما إذا كان نظام إدارة أمن المعلومات يعمل من خلال المراقبة والتدقيقات الداخلية ومراجعة إدارية رسمية تجريها القيادة.

البند 10، التحسين. أي معالجة الأمور التي تسوء عبر الإجراءات التصحيحية، والتحسين المستمرّ للنظام. فـ ISO 27001 يتوقّع أن يتحسّن نظام إدارة أمن المعلومات مع مرور الوقت، لا أن يظلّ جامدًا بعد التصديق.

تخبرك البنود من 4 إلى 10 بكيفية تشغيل نظام الإدارة. أما Annex A فهو قائمة الضوابط الأمنية التي تستمدّ منها عندما تقرّر كيفية معالجة مخاطرك. وقد أعاد إصدار 2022 تنظيم هذه القائمة وتحديثها.

وهناك الآن ثلاثة وتسعون ضابطًا، موزّعة على أربعة محاور بدلًا من الفئات الكثيرة المستخدمة في الإصدار الأقدم لعام 2013. والمحاور الأربعة هي الضوابط التنظيمية، وضوابط الأفراد، والضوابط المادية، والضوابط التقنية.

الضوابط التنظيمية، وعددها سبعة وثلاثون، تغطّي السياسات والأدوار وعلاقات الموردين وإدارة الحوادث وما شابهها من موضوعات الحوكمة. وضوابط الأفراد، وعددها ثمانية، تغطّي الفحص والتوعية والمسؤوليات وسلوك الموظفين. والضوابط المادية، وعددها أربعة عشر، تغطّي المكاتب والمعدّات والمناطق الآمنة والدخول المادي. والضوابط التقنية، وعددها أربعة وثلاثون، تغطّي التدابير التقنية مثل التحكّم في الوصول والتشفير والتسجيل والنسخ الاحتياطي والتطوير الآمن.

وأدخل تحديث 2022 أيضًا عدّة ضوابط أحدث تعكس طريقة عمل المؤسسات اليوم، منها معلومات التهديدات، وأمن المعلومات للخدمات السحابية، وإخفاء البيانات، ومنع تسرّب البيانات، والبرمجة الآمنة.

والأهمّ أنك لست مضطرًّا إلى تطبيق كل ضابط. بل تراجع كل ضابط مقابل تقييم المخاطر لديك، وتسجّل أيّها ينطبق وأيّها لا ينطبق ولماذا، في وثيقة تُسمّى Statement of Applicability (بيان قابلية التطبيق). وبيان قابلية التطبيق هو أحد المستندات المحورية التي يفحصها المدقّق، لأنه يُظهر المنطق الكامن وراء اختياراتك.

يُمنح تصديق ISO 27001 عن طريق جهة تصديق مستقلة، لا عن طريق من ساعدك على الاستعداد. فبإمكان جهة استشارية أو استوديو أن يرشدك، وأن يبني معك نظام إدارة أمن المعلومات، وأن يجري تدقيقًا تجريبيًا، لكنه لا يستطيع إصدار الشهادة. وهذا الفصل مقصود، وهو ما يمنح الشهادة مصداقيتها.

والجهات التي يمكنها إصدار شهادة معترف بها تكون هي نفسها معتمدة من جهة اعتماد وطنية، تشرف على كفاءتها واستقلاليتها. وعند اختيار جهة التصديق، يهمّ التأكّد من أنها معتمدة على النحو الصحيح، لأن الشهادة غير المعتمدة يكون وزنها أقلّ بكثير لدى العملاء.

ويحدث التقييم على مرحلتين. المرحلة الأولى هي مراجعة للوثائق. يتحقّق المدقّق من أن نظام إدارة أمن المعلومات موجود على الورق، وأن نطاقك وسياساتك وتقييم المخاطر وبيان قابلية التطبيق قائمة ومتّسقة، وأنك مستعدّ للتدقيق الأعمق. وغالبًا ما تكشف هذه المرحلة فجوات لا يزال أمامك وقت لإصلاحها.

المرحلة الثانية هي التدقيق الرئيسي. يجمع المدقّق أدلة على أن نظام إدارة أمن المعلومات لديك ليس مكتوبًا فحسب بل يعمل فعلًا: أن الضوابط تشتغل، وأن السجلّات محفوظة، وأن الحوادث تُعالَج، وأن المراجعات الإدارية تُجرى. فإن اجتزت، أصدرت الجهة شهادة صالحة عادةً لمدّة ثلاث سنوات.

والتصديق ليس حدثًا يحصل مرّة واحدة. فخلال تلك السنوات الثلاث تُجري الجهة تدقيقات مراقبة، سنوية عادةً، للتأكّد من أن نظام إدارة أمن المعلومات لا يزال يعمل، وتدقيق إعادة تصديق كامل في نهاية الدورة. ويفترض المعيار أنك تُبقي النظام حيًّا، لا أن تستعدّ مرّة واحدة ثم تسترخي.

ISO 27001 اختياري. فليس هناك قانون يُلزم شركة اعتيادية بالحصول عليه. وعمليًا، فإن الذي يدفع إليه هو العملاء والأسواق لا الجهات التنظيمية.

وهو يميل إلى أن يكون الأهمّ لبائعي البرمجيات وشركات SaaS التي تبيع للمؤسسات الكبرى، ولمزوّدي الخدمات المُدارة، ولمعالِجي البيانات، ولأي شركة يُجري عملاؤها مراجعات أمنية رسمية للموردين. وفي كثير من عمليات المشتريات في قطاع المؤسسات والقطاع العام، يختصر تصديق ISO 27001 المعتمد استبيانًا أمنيًّا طويلًا أو يحلّ محلّه.

وهو شائع أيضًا عند التوسّع دوليًّا، لأن ISO 27001 معترف به عالميًّا ويمنح إجابة واحدة قابلة للنقل عن سؤال ما إذا كنت تأخذ الأمن على محمل الجدّ.

ويُرجّح أنك لست بحاجة إليه بعد إن لم يكن هناك عملاء يطلبونه، وكنت تتعامل مع قدر ضئيل من البيانات الحساسة، ولديك مخاطر مُنتَج أكثر إلحاحًا. ومع ذلك، فإن بناء عادات أمنية جيّدة مبكرًا يجعل التصديق في نهاية المطاف أقلّ إيلامًا بكثير، وانضباط البنود من 4 إلى 10 قيّم حتى قبل أن تسعى للحصول على شهادة.

ومن الجدير بالذكر كيف يختلف ISO 27001 عن SOC 2، وهو ما يخلط بينهما القرّاء غالبًا. فـ ISO 27001 يصدّق على أن نظام الإدارة لديك يستوفي معيارًا محدّدًا، وتُصدره جهة تصديق معتمدة. أما SOC 2 فهو تقرير تصديق تُنتجه شركة CPA مرخّصة وفق معايير ثقة محدّدة. وهما يتداخلان كثيرًا في الجوهر لكنهما يختلفان في الصيغة وفي الجهة التي تُصدر النتيجة.

الاستعداد أيسر ممّا توحي به الصياغة الكثيفة للمعيار. فمعظمه يتمثّل في توثيق ما يفعله فريقك فعلًا والالتزام به باستمرار، ثم سدّ الفجوات الحقيقية.

حدّد نطاقك أوّلًا. قرّر أي المنتجات والأنظمة والفرق والمواقع يشملها نظام إدارة أمن المعلومات. فالنطاق الأضيق والأمين أسهل في التصديق من نطاق مُفرِط في الطموح.

أشرِك القيادة إشراكًا حقيقيًّا. فالبند 5 ليس إجراءً شكليًّا؛ إذ يستطيع المدقّقون أن يميّزوا متى وقّعت الإدارة سياسةً دون أن تكون منخرطة فعلًا. أسنِد مالكًا واضحًا لنظام إدارة أمن المعلومات.

أجرِ تقييمًا حقيقيًّا للمخاطر. حدّد أصولك المعلوماتية وما قد يهدّدها، ثم قرّر لكل خطر ما إذا كنت ستعالجه أو تقبله أو تنقله أو تتجنّبه. وهذا يقود كل ما سواه، بما في ذلك ضوابط Annex A التي تختارها.

اكتب المستندات الأساسية: سياسة لأمن المعلومات، وتقييم المخاطر وخطة معالجتها، وبيان قابلية التطبيق. واجعلها قابلة للقراءة، لأن على الناس اتّباعها.

طبّق الضوابط التي اخترتها، ثم شغّلها مدّة كافية لإنتاج أدلة. فالمدقّقون يريدون رؤية النظام يعمل، لذا كوّن بضعة أشهر من السجلّات والسجلّات التقنية واجتماعات المراجعة قبل تدقيق المرحلة الثانية.

أجرِ تدقيقًا داخليًّا ومراجعة إدارية قبل وصول جهة التصديق. فاكتشاف فجواتك وإصلاحها أوّلًا هو بالضبط ما يطلبه البندان 9 و10، وهو يجعل التدقيق الخارجي أكثر سلاسة بكثير.

يمكن لاستوديو متخصّص مثل tr3labs، الذي تأسّس عام 2024، أن يساعدك في تحديد نطاق نظام إدارة أمن المعلومات، وإجراء تقييم المخاطر، وبناء الوثائق، والاستعداد للتدقيق. أما الشهادة نفسها فتأتي دائمًا من جهة تصديق مستقلة ومعتمدة، لا من الشركة التي ساعدتك على الاستعداد.