Keybridge تُهيّئ مؤسستكم للحصول على شهادة ISO 27001 في العراق وإقليم كردستان.

لمحة سريعة عن ISO 27001

الإصدار

أكتوبر 2022. ISO/IEC 27001:2022 هي النسخة الحالية. وأضاف التعديل 1 الصادر في فبراير 2024 صياغة العمل المناخي إلى البندين 4.1 و4.2.

البنية

بنية عليا موحّدة وفق الملحق SL. 10 بنود، وتتضمن البنود من 4 إلى 10 المتطلبات التي تخضع للتدقيق. ويضيف الملحق A 93 ضابطاً في أربعة محاور.

إمكانية الحصول على الشهادة

نعم. تُمنح الشهادة للشركة عن نطاق محدد من الأنظمة والخدمات والمواقع. ولا توجد شهادة لمنتج أو لشخص بموجب هذا المعيار.

صلاحية الشهادة

تُراجع التواريخ والحالة الحالية للشهادة الصادرة؛ وتعتمد استمرارية صلاحيتها على استيفاء شروط جهة منح الشهادة.

تدقيق المتابعة

تتحقّق تدقيقات المتابعة من استمرار استيفاء نظام الإدارة للمتطلبات بين قرارات منح الشهادة.

تخطيط التدقيق

تؤثر المواقع والأنشطة والعاملون ودرجة التعقيد في خطة التدقيق؛ وتحدّد جهة منح الشهادة الوقت اللازم له.

ما يغطيه النطاق

تقتصر التغطية على المواقع والأنشطة المحددة في نطاق الشهادة.

ما تذكره الشهادة

اسم الشركة والمعيار والنطاق وتواريخ سريان الشهادة.

لغة النظام

نكتب السياسات والإجراءات بالعربية أو الكردية أو الإنجليزية. أما سجلات الأصول ومراجعات الصلاحيات وسجلات الحوادث فتُحفظ عادة بالإنجليزية لأن الأدوات بالإنجليزية.

ما هو ISO 27001

ISO/IEC 27001:2022 هو المعيار الدولي لنظام إدارة أمن المعلومات. يطلب من الشركة أن تحصر ما تملكه وما تشغّله، وأن تقيّم المخاطر على هذه المعلومات، وأن تقرر أي الضوابط تطبّق، وأن تسجّل ما يجري عند وقوع خطأ. وينطبق على نطاق محدد من الأنظمة والخدمات والمواقع.

ما يتطلبه المعيار

1. البنود من 1 إلى 3 تغطي النطاق والمراجع والمصطلحات. والبنود من 4 إلى 10 هي المتطلبات التي يفحصها المدقق، والملحق A يورد الضوابط الـ93.
2. البند 4، السياق. حدّدوا الأطراف المعنية، ثم ثبّتوا نطاق النظام الأمني بحسب الموقع والخدمة والنظام ونوع البيانات.
3. البند 5، القيادة. الإدارة توقّع سياسة أمن المعلومات وتسمّي من يملك المخاطر ومن يعتمد الصلاحيات ومن يدير الاستجابة للحوادث.
4. البند 6، التخطيط. نفّذوا تقييم المخاطر، واكتبوا خطة معالجتها، وأصدروا بيان القابلية للتطبيق الذي يقبل أو يستثني كلاً من الضوابط الـ93 في الملحق A بسبب مكتوب.
5. البند 7، الدعم. سجلات كفاءة أدوار تقنية المعلومات والأمن، وتدريب توعوي لكل موظف، وضبط إصدارات المعلومات الموثّقة.
6. البند 8، التشغيل. نفّذوا خطة معالجة المخاطر، وأبقوا تقييم المخاطر محدّثاً، واضبطوا التغييرات والموردين المرتبطين بنطاق النظام.
7. البند 9، تقييم الأداء. قيسوا أهداف الأمن، ونفّذوا تدقيقات داخلية على كل بند وكل ضابط مطبَّق، واعقدوا مراجعة الإدارة.
8. البند 10، التحسين. سجّلوا كل حالة عدم مطابقة وكل حادث أمني، وابحثوا عن السبب، وصحّحوه، وأثبتوا أن التصحيح نجح.
9. الملحق A، 93 ضابطاً في أربعة محاور: 37 تنظيمياً و8 للأفراد و14 مادياً و34 تقنياً. ويأخذ المدقق عينات من الضوابط التي يعلن بيان القابلية للتطبيق أنها قيد الاستخدام.

من يحتاج ISO 27001 في العراق وإقليم كردستان

جهات قد تراجع متطلبات ISO 27001

العوامل المحدّدة للاستثمار المطلوب

• عدد المواقع وما إذا كان على المدقق السفر إلى أربيل أو السليمانية أو بغداد أو البصرة.
• حجم النطاق، محسوباً بالأنظمة والخدمات وقواعد البيانات والمواقع لا بعدد الموظفين وحده.
• عدد الموظفين داخل النطاق، وهو ما يحدد عدد أيام المدقق.
• عدد ضوابط الملحق A المعلن استخدامها في بيان القابلية للتطبيق وحجم الأدلة التي يحتاجها كل ضابط.
• ما إذا كانت الخدمات السحابية والاستضافة الخارجية داخل النطاق، لأن كل مزوّد يجب تقييمه.
• اللغات المستخدمة في إعداد الوثائق.
• حجم التوثيق والتسجيل والرصد الصالح للاستخدام الموجود أصلاً في الشركة.
• الموعد الذي يجب أن تكون المستندات جاهزة فيه.
• ما إذا كان ISO/IEC 27001 يُبنى وحده أو مع ISO 9001 وISO/IEC 20000-1 كنظام واحد، وتحدّد جهة منح الشهادة مدة التدقيق المناسبة.

يحدد العرض النطاق والمخرجات والمواعيد قبل بدء العمل.

معايير تُؤخذ عادة مع ISO 27001