ما هي ISO/IEC 27001؟
تُعد ISO/IEC 27001 معيارًا دوليًا معترفًا به على نطاق واسع، يحدد متطلبات نظام إدارة أمن المعلومات (ISMS)، وهو جزء من عائلة مواصفات ISO/IEC 27000 التي تضم أكثر من اثني عشر مواصفة. ويتيح تطبيق هذه المواصفات للمؤسسات - على اختلاف أنواعها - إدارة أمان أصولها مثل المعلومات المالية، والملكية الفكرية، وبيانات الموظفين، أو المعلومات الموكلة إليها من أطراف ثالثة.
توفّر ISO/IEC 27001 إطار عمل لنظام إدارة أمن المعلومات بهدف ضمان الاستمرارية في سرية المعلومات وسلامتها وتوافرها (CIA)، بالإضافة إلى الامتثال للمتطلبات القانونية.
وتضع المواصفة متطلبات على المؤسسات لإنشاء وتنفيذ وصيانة وتحسين نظام إدارة أمن المعلومات بشكل مستمر، وذلك كدليل يساعد على المراجعة الدائمة لأمان المعلومات، مما يُسهم في تعزيز قيمة الخدمات التي تقدمها المؤسسة.
وقد صدر الإصدار الحالي من ISO/IEC 27001:2022 في أكتوبر 2022، وتمت مراجعته مؤخرًا.
فوائد الحصول على شهادة ISO/IEC 27001
تساعد المواصفة ISO/IEC 27001 المؤسسات على حماية معلومات عملائها، مما يحقق العديد من الفوائد، ومن أبرز هذه الفوائد ما يلي:
-
تحسين أمن المعلومات
-
زيادة رضا العملاء
-
الحصول على ميزة تنافسية
-
زيادة القدرة على مقاومة الهجمات
-
زيادة التركيز على المخاطر
-
امتثال أكبر للمتطلبات
-
خفض تكاليف أمن المعلومات
-
تحسين العلاقات مع أصحاب المصلحة
-
اعتراف دولي
خطوات الحصول على شهادة ISO/IEC 27001
تُمنح شهادة ISO/IEC 27001 بعد إجراء تدقيق خارجي من طرف ثالث تقوم به جهة مانحة مثل إدارة منح الشهادات بمركز ضمان الجودة والمعايرة المهنية - قسم منح شهادات نظم الجودة (AQC-MSC)، حيث يتم خلال هذا التدقيق التحقق من مدى التزام المؤسسة بمتطلبات المواصفة. وفي حال استيفاء المتطلبات وتحقيق نتائج إيجابية، يتم منح الشهادة.
تُحافظ المؤسسة على الشهادة من خلال عمليات تدقيق دورية سنوية تُجريها (AQC-MSC)، ويتم إجراء عمليات تدقيق كل ثلاث سنوات لتجديد الشهادة.
يوضح المخطط أدناه خطوات البدء في رحلة الحصول على شهادة ISO/IEC 27001:
خطوات منح الشهادة
البدء في رحلة الحصول على شهادة ISO/IEC 27001
الخطوة 1.1 (تقديم الطلب)
- استقبال الطلب
- مراجعة الطلب
- يوقّع العميل عقد منح شهادة لمدة 3 سنوات مع (AQC-MSC)
- تقدم (AQC-MSC) خطة التدقيق إلى العميل
الخطوة 2.1 (تدقيق منح الشهادة)
- ستقوم (AQC-MSC) بتنفيذ ما يلي:
- تقييم الفجوات (مراجعة مدى الجاهزية)
- تدقيق المرحلة الأولى (مراجعة الوثائق)
- تدقيق المرحلة الثانية (مراجعة التنفيذ الفعلي)
- سيقوم مدقق (AQC-MSC) بمشاركة تقارير التدقيق مع لجنة اتخاذ قرار منح الشهادة
الخطوة 3.1 (منح الشهادة)
- إذا كانت النتيجة إيجابية، تقوم (AQC-MSC) بإصدار الشهادة
- إذا كانت النتيجة سلبية، تخطط (AQC-MSC) لإجراء تدقيق تحقق إضافي
بعد منح الشهادة (السنة الأولى والثانية)
الخطوة 1.2 (تدقيق المتابعة)
- تجري (AQC-MSC) تدقيق للمتابعة في السنة الأولى والثانية بعد منح الشهادة
- يشارك مدقق (AQC-MSC) تقارير التدقيق مع لجنة اتخاذ القرار
تجديد الشهادة (السنة الثالثة)
الخطوة 1.3 (طلب التجديد)
- يقوم العميل بطلب تجديد الشهادة
- التخطيط لعملية التدقيق
- تنفيذ عملية التدقيق
الخطوة 2.3 (تجديد الشهادة)
- إذا لم يتم العثور على أي عدم تطابق جوهري، يتم تجديد الشهادة
- إذا تم العثور على أي عدم تطابق جوهري، يتم التخطيط لإجراء تدقيق تحقق إضافي