Trupeer Blog
تلخيص
تُعد ISO 27001 المعيار العالمي لأنظمة إدارة أمن المعلومات، وبحسب مسح 2024 فقد تم استخدامها بواسطة 96,709 شهادات صالحة عبر 179,877 موقعًا معتمدًا حول العالم. يضع مسح ISO Survey 2025 الرقم عند حوالي 125,600 شهادة. يوضح هذا الحجم حقيقة هادئة: لم تعد هذه مجرد شارة متخصصة، بل أصبحت لغة التشغيل التي يتوقعها كثير من المشترين الآن عند التعامل مع معلومات الشركة الحساسة.
من واقع خبرتي، ليست المسألة الفعلية ما إذا كانت معايير iso 27001 مهمة، بل ما إذا كان فريقك قادرًا على الحفاظ على سلسلة الأدلة سليمة عندما يبدأ المدقق بطرح أسئلة غير مريحة. صياغة البنود هي الجزء السهل. الجزء المزعج هو إثبات، أسبوعًا بعد أسبوع، أن ضوابطك وسجلاتك وموافقاتك تتطابق جميعها.
الإجابة السريعة: ISO 27001 هي المعيار الدولي لنظام إدارة أمن المعلومات (ISMS). للحصول على الاعتماد، تحدد نطاق النظام، وتُجري تقييمًا للمخاطر، وتختار الضوابط من الـ 93 في الملحق A وتُبررها في بيان قابلية التطبيق، ثم تُطبقها وتوثقها، وتُجري تدقيقًا داخليًا ومراجعة إدارية، وبعد ذلك تجتاز تدقيق المرحلة 1 والمرحلة 2 من جهة اعتماد معتمدة. تستمر الشهادة ثلاث سنوات، مع تدقيقات المتابعة في العامين الأول والثاني.
جدول المحتويات
لماذا أصبحت معايير ISO 27001 ضرورة تجارية
انتقلت ISO 27001 من كونها عامل تمييز إلى خط أساس، خصوصًا في مبيعات المؤسسات. تضاعف عدد الشهادات تقريبًا بين 2023 و2024، من 48,671 إلى 96,709، ما يجعل هذا التحول صعبًا على التغاضي عنه (نظرة عامة على اعتماد ISMS.online). يعكس جزء من هذه القفزة تغييرًا في طريقة جمع ISO للبيانات، إذ تحوّل مسح 2024 إلى سجلات IAF CertSearch المجمعة، لكن اتجاه النمو حقيقي.
لقد رأيت فرقًا تتعامل مع الاعتماد كمشروع أمن أولًا. هذا التأطير يفوّت كيف يستخدمه المشترون. تُعد ISO 27001 إشارة ثقة تظهر في المشتريات والمراجعات الخاصة بالمورّدين وعلى متن استقبال الشركاء. عندما تصل استبانة أمنية إلى مكتب مهندس المبيعات، تساعد الشهادة، لكن الفوز الأصعب هو إظهار أن الضوابط تعمل بالفعل، وليست مجمّدة داخل ملف PDF. نقدم هذا النوع من الأدلة في مركز ثقة Trupeer، كشركة معتمدة وفق ISO 27001 وSOC 2 Type II، لأن المشترين يريدون دليلًا يمكنهم فحصه، لا وعودًا يتعين عليهم تصديقها.
ما الذي تغيّر في سلوك المشترين
قبل بضع سنوات، تعاملت بعض شركات SaaS مع الاعتماد باعتباره ميزة تسويقية لطيفة. هذا الموقف أصبح أضعف الآن. تُظهر بيانات معيارية حديثة أن 81% من المؤسسات أفادت بأنها تملك اعتماد ISO 27001 الحالي أو تخطط للحصول عليه في 2025، مقارنةً بـ 67% في 2024، لذا بات المشترون يعاملون المعيار بشكل متزايد كجزء من الحد الأدنى من الحزمة (إحصاءات الامتثال من CNIC Solutions).
قاعدة عملية: إذا طلب أحد العملاء المحتملين شهادة، فعادةً ما يهتمون أكثر أيضًا بانضباط التشغيل لديك، وأدلتك، وتيرة مراجعتك، ومن يمتلك نظام ISMS يوميًا.
لقد تابعت فرق SaaS وهي تضيع وقتًا هنا. كانت لديهم صفحة أمنية مصقولة، لكن السجلات الداخلية كانت متفرقة. تباطأت دورة المبيعات لأنهم لم يستطيعوا الإجابة عن أسئلة المتابعة بسرعة كافية. فتحت الشهادة الباب، ثم ظهر في الممر تحدي إدارة الأدلة.
أفضل طريقة لقراءة معايير ISO 27001 هي اعتبارها نظام تحكم تجاري. فهي تمنح مراجعي المشتريات في المؤسسات والقانون والأمن إطارًا مشتركًا، كما تُلزم فريقك الخاص بالحفاظ على العملية صادقة.
أين تظهر القيمة للأعمال
ثقة المورّدين: تقلل الشهادة الاحتكاك عندما يحتاج المشتري إلى ضمان أمني رسمي.
الانضباط التشغيلي: يفرض نظام ISMS وجود مالكين محددين ومراجعات منتظمة وقرارات قابلة للتتبع.
استمرارية المبيعات: تحدث تعثرات مراجعة الأمن بشكل أقل عندما تكون الأدلة مرتبة مسبقًا.
جاهزية التعاقد: تتوقف التزامات الأمن عن العيش في سلاسل البريد الإلكتروني وتبدأ بالعيش في مستندات مُتحكم بها.
يمكن لمنصة سحابية أن تجتاز أول مراجعة أمنية بسرعة لأن الإجابات جاهزة. بعد ستة أشهر، يطلب المشتري نفسه أدلة محدثة للتحكم في الوصول، ويبدأ الفريق بالتعثر لأن لقطات الشاشة موجودة في Slack، والسياسات موجودة في Drive، وسجلات التدريب في بريد شخص ما. هذه الفجوة هي ما تكشفه عملية الاعتماد.
المقصود مباشر. ISO 27001 لم تعد تتعلق فقط بإثبات أنك تهتم بالأمن، بل بإثبات أنك تستطيع تشغيل الأمن كعملية أعمال قابلة للتكرار.
فهم بنية معايير ISO 27001
المعيار الحديث مبني حول نظام ISMS مع مجموعة ضوابط مدفوعة بالمخاطر. في مراجعة 2022، يحتوي الملحق A على 93 ضابطًا مجمعة في أربعة محاور، تنظيمية وأشخاص وبيئية مادية وتقنية (نظرة عامة على ملحق ISMS.online A).
أعجبني هذا الهيكل لأنه يمنع الفرق من التعامل مع الأمن كقائمة تحقق عشوائية. لا يُفترض أن تحشر كل ضابط ممكن داخل النطاق. بل يُفترض أن تقرر، بناءً على المخاطر، ما الذي يناسب بيئتك، ثم تدافع عن هذه الاختيارات في بيان قابلية التطبيق.
كيف تعمل محاور الضوابط الأربعة في الواقع
تهم المحاور الأربعة لأنها تجعل مجموعة الضوابط أكثر تحديدًا من ناحية التشغيل. الضوابط التنظيمية تتعلق بالحَوْكمة والعمليات. ضوابط الأشخاص تغطي السلوك والوعي والمسؤوليات. الضوابط المادية تحمي المرافق والأصول، بينما الضوابط التقنية تتعامل مع الأنظمة والبرمجيات والضمانات التقنية (نظرة عامة على تغييرات ISO 27001 من ISTO).
لهذا السبب لا يمكن أن تبقى قرارات السحابة واختيارات دورة حياة البرمجيات غامضة. إذا استخدم فريق الهندسة خدمات غير مُدارة، أو إذا قام فريق الدعم بتخزين لقطات الشاشة في مجلدات شخصية، فستظهر هذه العادات في بيان قابلية التطبيق عاجلًا أم آجلًا. يدفعك المعيار إلى جعل القرار واضحًا.
ما الذي يتعطل عادةً: تقوم الفرق بربط الضوابط على الورق لكنها لا تحوّلها أبدًا إلى ملكية وتواريخ مراجعة وأدلة فعلية. يلتقط المدققون هذا الانفصال بسرعة.
إليك الجزء الذي أعتقد أن كثيرًا من عمليات التطبيق تقلل من تقديره. الملحق A ليس هو المعيار بالكامل. فهو يدعم النظام، لكن وضع الاعتماد الفعلي يعتمد على ما إذا كانت الحَوْكمة والتوثيق وعملية المراجعة لديك يمكنها إظهار أن الضوابط تم اختيارها وشرحها والحفاظ عليها.
المنطق الداخلي الذي يتوقعه المدققون
نموذج ذهني مفيد هو كالتالي: المخاطر تُوجّه الضوابط، والضوابط تُوجّه الإجراءات، والإجراءات تُنتج الأدلة. إذا غاب أحد هذه الطبقات، يبدأ النظام بالاهتزاز. لهذا السبب يهم بيان قابلية التطبيق كثيرًا؛ فهو يربط قائمة الضوابط المجردة بطريقة عمل شركتك في الواقع. ينطبق نفس الانضباط في الأدلة على SOC 2، كما هو موضح في ما هي امتثال SOC 2.
الطبقة | ما الذي تفعله | الخلل الشائع |
|---|---|---|
سياق المخاطر | يحدد ما الذي يهم | النطاق غامض جدًا |
بيان قابلية التطبيق | يُبرر الضوابط المختارة | الاستبعادات غير مبررة |
الإجراءات والسجلات | تُثبت أن الضوابط تعمل | الأدلة متفرقة |
دورة المراجعة | تحافظ على نظام ISMS حيًا | قوائم تحقق سنوية تُستبدل بالإشراف المستمر |
لقد رأيت فرقًا تتعامل مع الهيكل كأنه أوراق عمل. هذا خطأ. البنية هي مسار التدقيق.
إذا كنت بحاجة إلى رفيق عملي لبنية التوثيق، فإن هذا الدليل حول تنسيق تعليمات العمل المتوافق مع ISO يُعد نقطة مرجعية مفيدة لتحويل العملية إلى شيء يمكن للناس اتباعه.
الخلاصة بسيطة. معايير ISO 27001 تعمل لأن مجموعة الضوابط منظمة، لكن الاعتماد لا يستمر إلا عندما تستطيع المؤسسة إظهار سبب اتخاذ كل قرار وكيف يبقى محدثًا.
التنقل عبر عملية اعتماد ISO 27001
الاعتماد دورة مدتها ثلاث سنوات، وليس حدثًا لمرة واحدة. تستمر الشهادة ثلاث سنوات، مع تدقيقات المتابعة في العامين الأول والثاني، وتدقيق إعادة الاعتماد الكامل في العام الثالث (نظرة عامة على إعادة اعتماد SIDD Swiss).
لقد رأيت الكثير من الفرق تخصص ميزانية لإطلاق البرنامج ثم تنسى الصيانة. هذا هو المكان الذي يحدث فيه الاحتراق. تعني إيقاع التدقيق السنوي أن أدلتك لا يمكن أن تصبح قديمة بين المحطات، لأن المدقق يتحقق مما إذا كان نظام ISMS ما يزال يعمل، وليس مما إذا كان يبدو جيدًا مرة واحدة في عرض تقديمي.
تسلسل التدقيق العملي
تبدأ العملية عادةً بأعمال الجاهزية، حيث تُغلق الفرق الفجوات الواضحة وتجمع التوثيق الأساسي. ثم تأتي المرحلة 1، وهي في الأساس مراجعة توثيق، والمرحلة 2، حيث يتحقق المدقق مما إذا كان نظام ISMS يعمل كما هو موصوف. بعد ذلك، تحافظ تدقيقات المتابعة على ضغط على النظام حتى لا يتدهور.
توقيت العملية مهم بقدر ترتيبها. تصف الملخصات المستقلة تدقيقات المتابعة بأنها عادةً ما تقع حول علامتي 12 شهرًا و24 شهرًا، مع ضرورة أن تكتمل إعادة الاعتماد قبل انتهاء صلاحية الشهادة (إرشادات تدقيق المتابعة).
نظرة تخطيطية بسيطة
قبل المرحلة 1: ثبّت النطاق والسياسات ومنهج تقييم المخاطر ووثائقك الأساسية.
بين المرحلة 1 والمرحلة 2: أصلح الفجوات التي يحددها جهاز الاعتماد واجمع أدلة التنفيذ.
أثناء سنوات المتابعة: حافظ على التدقيقات الداخلية ومراجعات الإدارة والإجراءات التصحيحية محدثة.
قبل السنة الثالثة: تعامل مع إعادة الاعتماد كمشروع، لا كتذكير تقويمي.
إذا انتظرت حتى يطلب المدقق أدلة، فأنت متأخر بالفعل.
مثال جيد هو شركة SaaS لديها انضباط هندسي قوي لكن إيقاع امتثال ضعيف. يمكنها اجتياز المرحلة 2، ثم تواجه صعوبة بعد ستة أشهر لأن سجلات تدريب الموظفين ومراجعات الوصول ومحاضر مراجعة الإدارة لم تُحفظ في مكان ثابت. النتيجة ليست فشلًا تقنيًا. إنها فشل في إيقاع التشغيل.
جانب التوثيق الداخلي مهم أيضًا هنا. يمكن لملاحظة عملية حول كيف توثق شركات التدقيق العمليات للطلبات التنظيمية أن تساعد الفرق على فهم لماذا يهتم المدققون كثيرًا بالاتساق وقابلية التتبع.
الخلاصة أن اعتماد ISO 27001 يكافئ الفرق التي تخطط لدورة الحياة الكاملة لثلاث سنوات. إذا تعاملت معه كحدث واحد، فستقضي العامين التاليين في اللحاق بالركب.
الدور الحاسم لتقييم المخاطر والتوثيق
البند 6.1 يحوّل ISO 27001 إلى نظام إدارة مُهندس بالمخاطر. يتعين على المؤسسات تحديد معايير المخاطر، وتقييم مخاطر أمن المعلومات باستخدام الاحتمالية والأثر، ثم اختيار خيارات المعالجة مثل التخفيف أو النقل أو القبول أو التجنب (تخطيط مخاطر البند 6.1).
سأكون صريحًا هنا لأن هذا هو المكان الذي تتفكك فيه معظم عمليات التطبيق الضعيفة. غالبًا ما تكون لدى الفرق سياسات جيدة، لكنها لا تستطيع شرح كيف أصبح أحد الأصول درجة مخاطر، وكيف قادت هذه الدرجة إلى ضابط، أو لماذا تم استبعاد ضابط. لا يحب المدققون الأمور غير الحاسمة، ولا يحب المشترون ذلك أيضًا عندما تكون لديهم فرق أمن ناضجة.
لماذا يهم بيان قابلية التطبيق كثيرًا
يُعد بيان قابلية التطبيق الجسر بين عملك على المخاطر وبيئة ضوابطك. فهو يخبر المدقق أي ضوابط من الملحق A اخترتها، وأيها استبعدتها، ولماذا تجعل هذه القرارات منطقًا ضمن نطاقك. بدون هذه القابلية للتتبع، يبدو التوثيق زينة بدلًا من أن يكون جزءًا من التشغيل.
هذه القابلية للتتبع هي الاختبار النهائي. لقد رأيت مؤسسات لديها أدوات قوية وسياسات متينة ومديرين حسنِي النية، ومع ذلك تفشل في إقناع المدقق لأن سلسلة الأدلة توقفت عند جدول بيانات بلا مالك وبدون تاريخ. لا يضمن بيان SoA النظيف النضج، لكن البيان الفوضوي يشير تقريبًا دائمًا إلى مشكلة.
سلسلة الأدلة التي يتوقعها المدققون
الأصل أو السياق يتم تحديده.
المخاطر يتم تقييمها باستخدام المعايير التي حددتها.
المعالجة يتم اختيارها، مثل ضابط أو قبول موثق.
الأدلة تُظهر أن الضابط يعمل فعليًا.
المراجعة تُثبت أن القرار ما يزال صالحًا.
يميل التوثيق إلى التعقيد الزائد هنا. الهدف ليس إنتاج المزيد من الأوراق. الهدف هو الحفاظ على سجلات دقيقة بما يكفي للتدقيق، وبسيطة بما يكفي حتى يستطيع العمل إدارتها دون استياء.
قاعدة عملية: إذا لم يستطع أحد تحديث الأدلة دون مطاردة تستغرق ساعتين، فستفشل العملية أثناء تدقيقات المتابعة.
سيناريو واقعي هو فريق منتج يضيف أداة سحابية جديدة خلال ربع عمل مزدحم. يقوم مسؤول الأمن بتحديث سجل المخاطر، لكن لا أحد يقوم بتحديث بيان قابلية التطبيق أو قائمة التهيئة أو سجل مراجعة الوصول. على الورق، تم اعتماد الأداة. في الواقع، تم كسر مسار التدقيق.
الخلاصة مباشرة. تقييم المخاطر وانضباط بيان قابلية التطبيق والسجلات الحالية هي العمود الفقري للمعيار. إذا ابتعدت هذه الأجزاء الثلاثة عن بعضها، يصبح كل شيء آخر أصعب.
كيفية إدارة أدلة الامتثال باستخدام أدوات حديثة
إدارة الأدلة هي عبء العمل الخفي في ISO 27001. المعيار نفسه قابل للإدارة. أما الجهد فيأتي من جمع لقطات الشاشة والموافقات وسجلات التدقيق وإصدارات السياسات وسجلات التدريب، ثم إثبات أنها ما تزال محدثة عندما يطلب المدقق ذلك.
لقد رأيت الفرق تتعامل مع هذا بشكل أفضل عندما تتوقف الأدلة عن كونها مهمة تنظيف ربع سنوية. يحتفظون بمستودع حي يلتقط العملية مباشرة في التوثيق بحيث يصبح قابلاً للبحث وقابلًا للتدقيق. هذا مهم لأن تدقيقات المتابعة تكافئ الاستمرارية، لا الاستعادة في اللحظة الأخيرة.
ما الذي تغيّره الأدوات الحديثة
يحوّل Trupeer تسجيل شاشة إلى إجراء قياسي (SOP) منظم، مع لقطات الشاشة وسجل المراجعات ووصول مُتحكم به يحافظ على سلسلة الأدلة سليمة. بالنسبة لفرق الامتثال، تتمثل القيمة العملية في الضوابط خلف المحتوى، بما في ذلك SSO وSCIM والصلاحيات التفصيلية ودعم سير عمل مراجعة المؤسسات.
هذا مهم لأن الأدلة يجب أن تكون منظمة ومحدثة ومتاحة للأشخاص المناسبين. تساعد أداة مثل Trupeer على تحويل المعرفة المتفرقة إلى توثيق مُتحكم به، وهو المكان الذي يفقد فيه كثير من برامج ISO الوقت والدقة.
سير عمل أدلة عملي
سجّل مرة واحدة: التقط العملية أثناء تنفيذها.
هيكلها فورًا: حوّل التسجيل إلى دليل أو إجراء قياسي أو مقالة معرفة.
تحكم في الوصول: تأكد أن الأشخاص المناسبين فقط يمكنهم تعديل المواد الحساسة.
اجعلها قابلة للبحث: حتى لا تتحول تجهيزات التدقيق إلى مطاردة.
حدّث بانتظام: الأدلة غير المحدثة قد تكون خطرة تقريبًا مثل غياب الأدلة.
تتعامل الفرق الجيدة مع التوثيق بالطريقة نفسها التي تتعامل بها مع كود المصدر. لا أحد يريد أن تكون النسخة الوحيدة من عملية حاسمة محبوسة في مجلد شخصي. يجب أن تعيش السجلات في نظام تظهر فيه الملكية والصلاحيات وسجل المراجعات. يشرح هذا الدليل حول التحكم في إصدارات التوثيق كيفية الحفاظ على هذا التاريخ نظيفًا.
بالنسبة للفرق التي تحتاج إلى نموذج تشغيل أوسع، يمكن لـ منصة إدارة توثيق المؤسسات أن تعمل ضمن نفس سير العمل مع السياسات ومكتبات الأدلة.
أين يفيد ذلك أكثر
تستخدم فرق نجاح العملاء ذلك لأدلة التهيئة. يستخدم مهندسو المبيعات ذلك للعروض التوضيحية المتكررة وجولات شرح الأمن. تستخدم فرق العمليات ذلك لإجراءات SOP ومواد التدريب التي يجب أن تبقى متوافقة مع الضوابط الحالية.
الخلاصة عملية. أدلة ISO 27001 تصبح أسهل بكثير في الإدارة عندما يتم إنشاء التوثيق كجزء من العمل، لا بعد وقوعه. تقلل أدوات المعرفة الحديثة من الاحتكاك دون إضعاف انضباط التدقيق.
أخطاء شائعة وكيفية تجنبها
أكبر خطأ هو التعامل مع ISO 27001 كأنه مشروع شهادات. إذا كان الهدف الوحيد هو اجتياز التدقيق، فعادةً ما يبني الفريق توثيقًا هشًا وينسى العادات التشغيلية التي تحافظ على نظام ISMS حيًا.
لقد رأيت حدوث ذلك أكثر من مرة. تحصل شركة على الاعتماد، تحتفل، ثم تترك الملكية تتراخى. بعد ستة أشهر، يتأخر التدقيق الداخلي، ويصبح سجل المخاطر قديمًا، ولا يكون أحد متأكدًا تمامًا من الذي يقوم بتحديث أدلة مراجعة الوصول.
الأخطاء التي أراها غالبًا
النطاق واسع جدًا أو غامض جدًا: يصبح نظام ISMS غير قابل للصيانة، أو يترك أنظمة مهمة خارج الحدود.
السياسات تتجاوز الواقع: تقول المستندات شيئًا بينما يعمل الفريق بطريقة أخرى.
الأدلة تعيش في أماكن كثيرة جدًا: لقطات الشاشة في الدردشة، والموافقات في البريد الإلكتروني، والإجراءات في مجلدات غير مترابطة.
تأجيل أعمال المتابعة: تفترض الفرق أن التدقيق التالي بعيد، ثم تتعجل في اللحظة الأخيرة.
يُعامل التدريب كأنه خانة اختيار: يعرف الموظفون السياسة الرئيسية لكن ليس مسؤولياتهم الفعلية.
الحل ممل، ولهذا يعمل. اجعل النطاق قابلًا للدفاع عنه. عيّن مالكين لكل مجال ضوابط رئيسي. راجع السجلات وفق جدول، وليس فقط عندما يطلبها أحد. والأهم: تعامل مع نتائج التدقيق الداخلي كتعليقات تشغيلية، لا كعيوب امتثال فقط.
قاعدة واقعية: إذا كانت العملية لا تعمل إلا عندما يتذكر شخص واحد كل شيء، فهي ليست عملية بعد.
أعتقد أيضًا أن الفرق تقلل من تقدير مدى تأثير انضباط التوثيق على الأمن نفسه. تجعل السجلات الجيدة الفجوات مرئية في وقت أبكر. تخفي السجلات الضعيفة المشكلات حتى يكشفها المدقق أو حادث. لهذا السبب أدفع الفرق دائمًا إلى ربط إدارة الأدلة بحَوْكمة الأمن الفعلية بدل إبقائها في سلاسل منفصلة.
قراءة رفيقة مفيدة هي هذا الدليل حول أمن قاعدة المعرفة وSSO وضوابط الوصول، لأن أمن المستندات جزء من الامتثال أيضًا.
الخلاصة بسيطة. معايير ISO 27001 لا تكافئ الفريق الذي يبدو متوافقًا لمدة أسبوع. بل تكافئ الفريق الذي يبقى منظمًا ومسؤولًا ومتسقًا بشكل ممل.
كيف يدعم Trupeer برنامج ISO 27001 الخاص بك
بالإضافة إلى إدارة الأدلة، يساعد Trupeer في جانب الأشخاص في ISO 27001: إجراءات التشغيل، وتدريب الوعي، والوصول المُتحكم به إلى التوثيق الحساس:
ضوابط التوثيق كإجراءات: سجّل مراجعات الوصول، والتهيئة والفصل مرة واحدة، واحصل على أدلة مع لقطات شاشة.
نفّذ تدريب الوعي: حوّل التسجيلات نفسها إلى مقاطع فيديو قصيرة مع تعليق صوتي مدعوم بالذكاء الاصطناعي.
تحكم في الوصول: SAML SSO، وتوفير SCIM، والوصول المعتمد على الأدوار، ومساحات عمل متعددة، وسجلات التدقيق.
احتفظ بأدلة التغيير: يُظهر سجل إصدارات المستندات الإصدارات الأقدم لكل إجراء.
اختر موردًا معتمدًا: يحمل Trupeer نفسه شهادات ISO 27001 وSOC 2 Type II.
الأسئلة الشائعة
ما هي ISO 27001؟
ISO/IEC 27001 هي المعيار الدولي لإعداد وتشغيل وتحسين نظام إدارة أمن المعلومات (ISMS). الإصدار الحالي هو ISO/IEC 27001:2022.
كم عدد الضوابط في ISO 27001؟
يسرد الملحق A من ISO 27001:2022 93 ضابطًا ضمن أربعة محاور: تنظيمية وأشخاص وبيئية مادية وتقنية. تختار الضوابط التي تنطبق بناءً على تقييم المخاطر لديك، وتشرح اختياراتك في بيان قابلية التطبيق.
كم يستغرق اعتماد ISO 27001؟
يعتمد ذلك على نطاقك وجاهزيتك. تقضي معظم المؤسسات عدة أشهر في التحضير قبل تدقيق المرحلة 1 والمرحلة 2. بعد الاعتماد، تتبعها تدقيقات المتابعة في العامين الأول والثاني، ثم تدقيق إعادة الاعتماد الكامل في العام الثالث.
هل ISO 27001 إلزامية؟
لا، هي اختيارية. تسعى إليها كثير من الشركات لأنها مطلوبة من العملاء أو الشركاء أو الجهات التنظيمية للحصول على دليل مستقل على إدارة أمن المعلومات.
ما الفرق بين ISO 27001 وSOC 2؟
يعتمد ISO 27001 نظام إدارة وفق معيار دولي، بينما يعد SOC 2 تقرير تأكيد من المدقق حول الضوابط وفق معايير AICPA Trust Services Criteria. راجع ما هي امتثال SOC 2 و الصورة الأوسع في ما هو أمن المؤسسات.
حافظ على أدلة تدقيق ISO 27001 جاهزة باستخدام Trupeer. سجّل إجراء ضابط مرة واحدة، ويحوّل Trupeer ذلك إلى إجراء قياسي (SOP) مُتحكم به مع لقطات شاشة وفيديو تدريب قصير ومدخل قاعدة معرفة قابل للبحث، مع SAML SSO وSCIM والوصول المعتمد على الأدوار وسجل الإصدارات. يحمل Trupeer نفسه شهادات ISO 27001 وSOC 2. اطّلع على Trupeer للمؤسسات.
الأسئلة الشائعة
What is ISO 27001?
How many controls are in ISO 27001?
How long does ISO 27001 certification take?
Is ISO 27001 mandatory?
What is the difference between ISO 27001 and SOC 2?
