أمن المعلومات
ISO 27001
ISO/IEC 27001 (أمن المعلومات)
ISO/IEC 27001 هو المعيار العالمي لنظام إدارة أمن المعلومات (ISMS). نأخذك من أول فجوة إلى شهادة تصدرها جهة معتمدة.
ما هو ISO 27001
ISO/IEC 27001 هو المعيار الدولي لإنشاء نظام إدارة أمن المعلومات وتشغيله وتحسينه باستمرار. وهو يتطلب منك تقييم مخاطرك، وتطبيق مجموعة من الضوابط لمعالجتها، وإدارة كل ذلك كنظام مُدار يتضمن القيادة والأهداف والتدقيق الداخلي ومراجعة الإدارة.
تمنحك مجموعة الضوابط في Annex A قائمة مرجعية تختار منها بناءً على تقييم المخاطر لديك، مع تفصيلها في ISO/IEC 27002. ويُمنح الاعتماد من قبل جهة تصديق مستقلة ومعتمدة، وليس من قبل شركة استشارية، وذلك بعد تدقيق من مرحلتين.
هيكل المعيار
البند 4 · سياق المؤسسة
تحدد نطاق نظام إدارة أمن المعلومات والقضايا الداخلية والخارجية والأطراف المعنية التي تشكّله.
البند 5 · القيادة
تتولى الإدارة العليا مسؤولية سياسة أمن المعلومات وتلتزم بتوفير الموارد والمساءلة التي يحتاجها النظام.
البند 6 · التخطيط
تجري تقييم المخاطر، وتقرر كيفية معالجة كل خطر، وتحدد الأهداف، وتُنتج بيان القابلية للتطبيق.
البند 7 · الدعم
توفر الأشخاص والكفاءة والتوعية والتواصل والمعلومات الموثقة التي تُبقي النظام يعمل.
البند 8 · التشغيل
تنفذ تقييم المخاطر وخطة معالجة المخاطر عملياً وتتحكم في التغييرات التي تؤثر عليها.
البندان 9 و 10 · التقييم والتحسين
تراقب النظام وتقيسه وتدققه داخلياً وتراجعه، ثم تتصرف بناءً على النتائج وحالات عدم المطابقة لتحسينه.
Annex A · الضوابط المرجعية
تسرد نسخة 2022 عدد 93 ضابطاً مجمّعة في أربعة مواضيع، تنظيمية وبشرية ومادية وتقنية، تختار منها بناءً على مخاطرك.
من يحتاج إليه
- المؤسسات التي يتوقع عملاؤها أو جهاتها التنظيمية معياراً أمنياً معترفاً به وقابلاً للتدقيق
- الشركات التي تبيع دولياً حيث يكون ISO 27001 هو اللغة المشتركة لضمان الأمن
- الفرق التي تريد نظام إدارة دائماً بدلاً من تقرير لمرة واحدة
ما تحصل عليه
- نظام إدارة أمن معلومات محدد النطاق مع تقييم للمخاطر وخطة لمعالجة المخاطر
- مجموعة وثائق تشمل بيان القابلية للتطبيق
- أدلة التدقيق الداخلي واختبار الاختراق ومراجعة الإدارة
- الجاهزية والدعم خلال تدقيق التصديق للمرحلة 1 والمرحلة 2
تعتمد الجداول الزمنية على نطاقك ومدى نضج ضوابطك بالفعل. نحدد النطاق بصدق منذ البداية بدلاً من الوعد بعدد ثابت من الأسابيع.
الإصدار الحالي
النسخة الحالية هي ISO/IEC 27001:2022، التي أعادت تنظيم Annex A إلى المواضيع الأربعة والضوابط البالغ عددها 93 الموصوفة أعلاه. وقد أُغلق الآن الانتقال من نسخة 2013، لذا تُصدر الشهادات وتُحافظ عليها مقابل نص 2022. وقد جرى تحديث الإرشادات الداعمة في ISO/IEC 27002:2022 بالتوازي معه، وهي تقدم تفاصيل التنفيذ خلف كل ضابط من ضوابط Annex A. وإذا كان نظام إدارة أمن المعلومات لديك مبنياً على النسخة الأقدم، فإن الانتقال هو عملية مواءمة وإعادة ضبط لخط الأساس أكثر منه إعادة بناء، ويمكننا مساعدتك على إنجازه.
التكلفة
تتجاور هنا تكلفتان. تفرض tr3labs رسوم استشارة وتنفيذ محددة النطاق، تُقدَّم مقدماً بمجرد أن نفهم حجمك ونطاقك ونقطة انطلاقك. أما الشهادة نفسها فتصدرها جهة تصديق مستقلة ومعتمدة، تحاسب بشكل منفصل وفق جدولها الخاص على تدقيق المرحلة 1 والمرحلة 2 والمراقبة السنوية التي تليها؛ وtr3labs ليست أبداً جهة التصديق أو المدقق تلك. نحن نفضّل تحديد نطاق العمل معك على تقديم عرض سعر دون معرفة.
كيف توصلك tr3labs إلى هناك
النطاق وتقييم الفجوات
نحدد نطاق نظام إدارة أمن المعلومات، ونجري تقييم المخاطر، ونقيس وضعك الحالي مقابل المعيار وملحق Annex A حتى تعرف بالضبط ما هو مفقود.
بناء نظام الإدارة
نساعدك على إنتاج الوثائق المطلوبة، وبيان القابلية للتطبيق وخطة معالجة المخاطر، وتنفيذ السياسات والضوابط التقنية التي يتوقعها المعيار.
الاختبار والإثبات
نجري عمليات تدقيق داخلي واختبار اختراق ومراجعة إدارية حتى يكون النظام قيد التشغيل وموثقاً بالأدلة قبل وصول مدقق خارجي.
دعم التصديق
نُعدّك لتدقيق المرحلة 1 والمرحلة 2 من قبل جهة التصديق المعتمدة التي تختارها، وندعمك حتى الحصول على الشهادة وخلال دورة المراقبة التي تليها.
ISO/IEC 27001 مقابل SOC 2
كلاهما يثبت أنك تأخذ الأمن على محمل الجد، لذا كثيراً ما يعاملهما المشترون كأنهما قابلان للتبادل في حين أنهما يخاطبان جماهير مختلفة بطرق مختلفة.
| ISO/IEC 27001 | SOC 2 | |
|---|---|---|
| الفكرة الأساسية | نظام إدارة أمن معلومات معتمد | تقرير إثبات عن الضوابط مقابل Trust Services Criteria |
| ما يغطيه | نظام إدارة أمن المعلومات بأكمله وضوابط Annex A المختارة منه | المعايير ذات الصلة بالخدمة التي تقدمها |
| من يطلبه | قاعدة مشترين عالمية ودولية | بشكل رئيسي مشترو المؤسسات في الولايات المتحدة |
| نموذج التدقيق | تدقيق من مرحلتين من قبل جهة تصديق معتمدة | فحص من قبل شركة محاسبة قانونية (CPA) مرخصة |
| ما تحصل عليه | شهادة ضمن دورة مدتها ثلاث سنوات مع مراقبة | تقرير في نقطة زمنية أو عن فترة زمنية تجدده |
| كثيراً ما يُحتفظ به مع | SOC 2، NIST CSF، ISO 42001 | ISO/IEC 27001 للوصول الدولي |
الأسئلة الشائعة حول ISO 27001
- من يصدر شهادة ISO 27001؟
- تصدر الشهادة جهة تصديق مستقلة معتمدة لمنح ISO/IEC 27001 بعد تدقيق من مرحلتين. تقوم tr3labs بإعدادك، وبناء نظام إدارة أمن المعلومات والأدلة، ودعمك خلال التدقيق؛ ونحن لسنا جهة تصديق.
- ما الفرق بين ISO 27001 و SOC 2؟
- يصدق ISO 27001 على نظام إدارة مقابل معيار دولي ويناسب جمهوراً عالمياً. أما SOC 2 فهو تقرير إثبات صادر عن محاسب قانوني (CPA) مقابل Trust Services Criteria وهو التوقع الافتراضي لمشتري المؤسسات في الولايات المتحدة. وتسعى العديد من المؤسسات للحصول على كليهما وتعيد استخدام جزء كبير من الأدلة نفسها.
- هل تدوم الشهادة إلى الأبد؟
- لا. تعمل شهادة ISO 27001 وفق دورة مدتها ثلاث سنوات مع عمليات تدقيق مراقبة سنوية وتدقيق لإعادة التصديق في النهاية. نساعدك على البقاء جاهزاً طوال الدورة، وليس فقط من أجل التدقيق الأول.
الخدمات التي توصلك إلى هناك
المعايير ذات الصلة
قراءات ذات صلة
SOC 2 مقابل ISO 27001: مقارنة صادقة تساعدك على الاختيار
دليل مبسّط وواضح للفروق الحقيقية بين SOC 2 و ISO 27001: ما هو كل منهما، ومن يطلب أيًّا منهما، وكيف تجري عمليات التدقيق، وما الذي ينتهي بك الأمر إلى امتلاكه، وهل ينبغي لك الحصول على الاثنين معًا.
قراءة 8 دقائق
ما هو ISO 27001؟ دليل مبسّط وواضح لمعيار أمن المعلومات
مقدّمة واضحة وخالية من المصطلحات المعقّدة عن ISO 27001 للمؤسِّسين والفرق التقنية: ما هو نظام إدارة أمن المعلومات (ISMS)، والبنود من 4 إلى 10، وضوابط Annex A لإصدار 2022، وكيف يعمل التصديق على مرحلتين، وكيفية الاستعداد له.
قراءة 8 دقائق
نظام OWASP LLM Top 10 موضَّحًا: دليل مبسّط للفرق التي تطلق ميزات الذكاء الاصطناعي
شرح عملي وواضح لأكبر عشر مخاطر وفق OWASP لتطبيقات نماذج اللغة الكبيرة، مع وصف مبسّط وإجراء تخفيف ملموس لكل منها، موجَّه للفرق التي تضيف ميزات الذكاء الاصطناعي لأول مرة.
قراءة 9 دقائق