معيار الأمن الذي يعترف به العالم كله.

ISO 27001 هو المعيار الدولي لنظم إدارة أمن المعلومات (ISMS)، الصادر عن ISO وIEC. يوفر منهجية منظمة لإدارة المعلومات الحساسة للشركة عبر تقييم المخاطر والضوابط الأمنية والتحسين المستمر. وتثبت شهادة ISO 27001 للعملاء والشركاء والجهات التنظيمية والمدققين أن مؤسستك تتبع أفضل الممارسات المعترف بها دوليًا في أمن المعلومات. تتضمن النسخة الحالية، ISO 27001:2022، 93 ضابطًا منظمة في أربعة محاور: التنظيمية والأفراد والمادية والتقنية. وتُمنح الشهادة من جهات تدقيق خارجية معتمدة بعد عملية تقييم من مرحلتين.

يتضمن Annex A من ISO 27001:2022 ما مجموعه 93 ضابطًا مرجعيًا منظمة في أربع فئات. تغطي الضوابط التنظيمية (37 ضابطًا) السياسات والأدوار وإدارة الأصول وضبط الوصول وعلاقات المورّدين وإدارة الحوادث واستمرارية الأعمال والامتثال. وتغطي ضوابط الأفراد (8 ضوابط) التحري والتوظيف والتوعية والتدريب والإجراءات التأديبية والمسؤوليات بعد انتهاء الخدمة. وتغطي الضوابط المادية (14 ضابطًا) المحيط الأمني المادي وضوابط الدخول وتأمين المكاتب والمراقبة وحماية المعدات. وتغطي الضوابط التقنية (34 ضابطًا) الأجهزة الطرفية وصلاحيات الوصول والمصادقة الآمنة وإدارة السعة والحماية من البرمجيات الخبيثة والنسخ الاحتياطي والتسجيل وأمن الشبكات والتطوير الآمن وإخفاء البيانات. توفر Venvera مكتبة كاملة لضوابط Annex A مع إرشادات تنفيذ وتتبع للفجوات لكل ضابط.

تقييم فجوات ISO 27001 (ويسمى أيضًا تحليل الفجوات) تقييم منظم يقارن ممارسات أمن المعلومات الحالية لديك بمتطلبات ISO 27001 وضوابط Annex A. يحدد التقييم الضوابط المنفذة كليًا أو جزئيًا أو المخطط لها أو غير المنطبقة، مع الأدلة الداعمة لكل نتيجة. والمخرج خطة عمل مرتبة حسب الأولوية تُظهر بدقة ما يلزم إنجازه لبلوغ جاهزية الشهادة. تؤتمت Venvera هذه العملية باستبيانات منظمة لكل ضابط من ضوابط Annex A، واحتساب آلي للدرجات، وخارطة طريق معالجة مُنشأة تلقائيًا مع تقديرات الجهد وترتيب الأولويات.

يتفاوت الجدول الزمني للحصول على شهادة ISO 27001 بحسب حجم المؤسسة ونضجها الأمني القائم. فالمؤسسة الصغيرة أو المتوسطة التي تبدأ من الصفر تحتاج عادة من 6 إلى 12 شهرًا. أما المؤسسات التي لديها أطر أمنية قائمة فيمكنها الإنجاز خلال 3 إلى 6 أشهر. تشمل العملية تحديد نطاق ISMS، وإجراء تقييم للمخاطر، وتنفيذ الضوابط، وبناء التوثيق، وإجراء عمليات تدقيق داخلي، وإتمام مراجعة الإدارة، ثم الخضوع لتدقيق الشهادة الخارجي من مرحلتين. المرحلة الأولى مراجعة للتوثيق للتأكد من الجاهزية، والمرحلة الثانية تقييم ميداني لفاعلية الضوابط. تسرّع Venvera هذا الجدول الزمني بمكتبات ضوابط جاهزة وقوالب سياسات ولوحات جاهزية للشهادة تتتبع تقدمك نحو كل متطلب.

ISO 27001 هو معيار نظام الإدارة القابل لإصدار الشهادة، ويحدد ما يجب أن يتضمنه ISMS: تحليل السياق، والتزام القيادة، وتقييم المخاطر، واختيار الضوابط، وتقييم الأداء، والتحسين المستمر. أما ISO 27002 فهو المعيار الإرشادي المرافق الذي يقدم نصائح تنفيذ تفصيلية لكل ضابط من ضوابط Annex A الثلاثة والتسعين المشار إليها في ISO 27001. تحصل على الشهادة مقابل ISO 27001، وتستخدم ISO 27002 مرجعًا لكيفية تنفيذ الضوابط. ويستحدث ISO 27002:2022 أيضًا سمات للضوابط (أنواع التهديدات، ومفاهيم الأمن السيبراني، والقدرات التشغيلية، والنطاقات الأمنية) تساعد المؤسسات على تصنيف الضوابط وترتيب أولوياتها. تدمج Venvera إرشادات ISO 27002 مباشرة في تقييم كل ضابط من ضوابط Annex A.

يوفر ISO 27001 أساسًا قويًا للامتثال لكل من DORA وNIS2، لكن الحصول عليه وحده يترك متطلبات إضافية في كل من اللائحتين. يشترط DORA إدارة مخاطر تقنية معلومات واتصالات خاصة بالقطاع المالي، وسجل Register of Information، والإبلاغ عن الحوادث خلال 4 ساعات، واختبارات المرونة، ورقابة على مخاطر الأطراف الثالثة تتجاوز ISO 27001. ويشترط NIS2 إخطارًا قطاعيًا بالحوادث خلال 24 ساعة، وتدابير لأمن سلاسل التوريد، ومساءلة للهيئة الإدارية تتجاوز ما يغطيه ISO 27001 وحده. ومع ذلك، فإن المؤسسات الحاصلة على شهادة ISO 27001 تكون عادة قد عالجت 60 إلى 70 في المئة من متطلبات DORA وNIS2. تربط Venvera الضوابط عبر الأطر الثلاثة لترى بدقة أين يفي تنفيذك لـ ISO 27001 بمتطلبات DORA وNIS2 وأين تلزم تدابير إضافية.

بعد الشهادة الأولية، يتطلب ISO 27001 عمليات تدقيق مراقبة سنوية في السنتين الأولى والثانية من دورة الشهادة الممتدة ثلاث سنوات، يعقبها تدقيق إعادة إصدار في السنة الثالثة. تتحقق عمليات تدقيق المراقبة من استمرار عمل ISMS بفاعلية ومن محافظة المؤسسة على الامتثال للمعيار. يراجع المدققون في كل زيارة مجموعة فرعية من الضوابط والبنود، ويفحصون الإجراءات التصحيحية من عمليات التدقيق السابقة، ويقيّمون مخرجات مراجعة الإدارة، ويراجعون نتائج التدقيق الداخلي، ويقيّمون أي تغييرات جوهرية في نطاق ISMS أو مشهد المخاطر. وقد تؤدي حالات عدم المطابقة المكتشفة أثناء المراقبة إلى تعليق الشهادة أو سحبها إذا لم تُعالج ضمن المهلة المحددة. تتتبع Venvera جميع نتائج التدقيق والإجراءات التصحيحية والأدلة لتكون مستعدًا دائمًا لزيارة المراقبة التالية.

نعم. Venvera برنامج امتثال لـ ISO 27001 مبني حول ISMS ومجموعة ضوابط Annex A. يمنحك مكتبة ضوابط محددة النطاق، وتقييم فجوات يقيس جاهزيتك للشهادة ضابطًا ضابطًا، ومساحة عمل للأدلة مع المسؤولين وتواريخ الانتهاء والتجديد. ولأنه يربط الضوابط عبر الأطر، فإن الأدلة التي تملكها أصلًا لـ SOC 2 أو NIST CSF تعبّئ مسبقًا جزءًا كبيرًا من وضعك في Annex A. يمكنك البدء بتقرير فجوات مجاني قبل أي التزام.