خدمة الجاهزية لشهادة ISO 27001
نساعد جهتك على تحديد نظام إدارة أمن المعلومات وفق ISO/IEC 27001، وتطبيقه واختباره وتوثيق أدلة تشغيله قبل تقييم جهة منح الشهادة المستقلة.
يحدد معيار ISO/IEC 27001 متطلبات نظام إدارة أمن المعلومات (ISMS).
ودورنا أن نبني نظام الإدارة الذي يقوم عليه التقييم: النطاق، والحوكمة، ومنهجية المخاطر ومعالجتها، وبيان قابلية التطبيق، والضوابط المطبّقة، والتدقيق الداخلي، ومراجعة الإدارة، والإجراءات التصحيحية، وأدلة التشغيل.
نحدد حدود نظام ISMS ونتائج الأعمال المستهدفة.
نكشف فجوات المتطلبات والضوابط والأدلة.
نضع منهجية المخاطر والحوكمة والوثائق وخطة المعالجة.
ننقل العمليات والضوابط التقنية إلى التشغيل الفعلي.
ننفّذ التدقيق الداخلي ومراجعة الإدارة والإجراءات التصحيحية.
ننظّم الأدلة لجهة منح الشهادة المستقلة.
ISO/IEC 27001 هو المعيار الدولي لنظام إدارة أمن المعلومات (ISMS). صدر إصداره الحالي ISO/IEC 27001:2022 في 25 أكتوبر 2022، ثم أُضيف إليه التعديل الأول في فبراير 2024 بمتطلبات تخص العمل المناخي، إذ أصبح على الجهة أن تقرر هل يمثّل تغيّر المناخ قضية ذات صلة بنظامها.
يحق لأي منشأة الحصول على شهادة ISO 27001 مهما كان حجمها أو قطاعها. وفي المملكة تعتمد البنوك وشركات التقنية المالية وشركات المدفوعات والتأمين وموردو التقنية على الشهادة لتثبت لعملائها وشركائها والجهات التنظيمية أن أمن المعلومات لديها نظام مُدار، له قيادة مسؤولة ومنهجية للمخاطر وأدلة تشغيل.
انتهى إصدار 2013 نهائيًا. فبموجب الوثيقة الإلزامية IAF MD 26 الصادرة عن المنتدى الدولي للاعتماد، انتهت صلاحية جميع شهادات ISO/IEC 27001:2013 المعتمدة أو سُحبت بانتهاء الفترة الانتقالية في 31 أكتوبر 2025. والجهة التي فاتها الموعد تبدأ من جديد بتقييم أولي للشهادة وفق إصدار 2022.
ويكمّل الصورة معياران مرتبطان: يقدّم ISO/IEC 27002:2022 إرشادات تطبيق كل ضابط من ضوابط الملحق A، أما ISO/IEC 27701:2025 الصادر في أكتوبر 2025 فأصبح معيارًا مستقلًا لنظام إدارة معلومات الخصوصية (PIMS)، ومصمّمًا ليتكامل مع نظام ISMS القائم.
يضم الملحق A في إصدار 2022 ثلاثة وتسعين ضابطًا، بعد أن كانت 114 ضابطًا موزعة على 14 بندًا في إصدار 2013. منها 11 ضابطًا جديدًا، و24 ضابطًا ناتجًا عن دمج ضوابط سابقة، و58 ضابطًا محدّثًا. ويشرح معيار ISO/IEC 27002:2022 كل ضابط ويصنّفه بسمات مثل نوع الضابط وخاصية الأمن ومفهوم الأمن السيبراني.
37 ضابطًا
السياسات، والأدوار، وجرد الأصول، وتصنيف المعلومات، وقواعد الوصول، وأمن الموردين، وإدارة الحوادث، واستمرارية الأعمال، والمتطلبات النظامية ومتطلبات الخصوصية. الجديد في 2022: معلومات التهديدات، وأمن الخدمات السحابية، وجاهزية تقنية المعلومات والاتصالات لاستمرارية الأعمال.
8 ضوابط
التحقق من خلفيات المرشحين، وشروط التوظيف، والتوعية والتدريب، والإجراءات التأديبية، والالتزامات بعد انتهاء الخدمة، واتفاقيات السرية، والعمل عن بُعد، والإبلاغ عن الأحداث الأمنية.
14 ضابطًا
المحيط الأمني والدخول، وتأمين المكاتب والمناطق، والمكتب النظيف، وتركيب المعدات وصيانتها، ووسائط التخزين، والمرافق المساندة، والكابلات، والإتلاف الآمن. الجديد في 2022: مراقبة الأمن المادي.
34 ضابطًا
الأجهزة الطرفية، والوصول المميّز، والمصادقة، والحماية من البرمجيات الضارة، وإدارة الثغرات، والنسخ الاحتياطي، والسجلات، وأمن الشبكات، والتشفير، والتطوير الآمن. الجديد في 2022: إدارة الإعدادات، وحذف المعلومات، وإخفاء البيانات، ومنع تسرب البيانات، وأنشطة المراقبة، وتصفية الويب، والبرمجة الآمنة.
تسير الشهادة المعتمدة وفق معيار ISO/IEC 17021-1، مع متطلبات خاصة بأنظمة ISMS في معيار ISO/IEC 27006-1. تمتد الدورة ثلاث سنوات وتضم خمس عمليات تدقيق.
تتحقق جهة منح الشهادة في المرحلة الأولى من أن التدقيق الداخلي ومراجعة الإدارة مخطط لهما ويجري تنفيذهما. أكمل دورة كاملة من الاثنين بسجلاتها قبل المرحلة الأولى.
يراجع المدقق المعلومات الموثقة والنطاق ومنهجية المخاطر وبيان قابلية التطبيق، ويحكم على الجاهزية للمرحلة الثانية. ومعالجة الملاحظات هنا هي الأقل كلفة.
يختبر المدقق التطبيق وفاعليته عبر المقابلات، والاطلاع المباشر على الأنظمة، وعينات من السجلات في النطاق كله. ويجب تصحيح حالات عدم المطابقة الجوهرية قبل قرار منح الشهادة.
تُصدر جهة منح الشهادة شهادة للنطاق المحدد، صالحة ثلاث سنوات.
مرة واحدة على الأقل في كل سنة ميلادية، على ألا يتجاوز الأول 12 شهرًا من تاريخ قرار المنح. ويأخذ كل تدقيق عينة من النظام، ويراجع التدقيق الداخلي ومراجعة الإدارة والإجراءات التصحيحية.
في السنة الثالثة، وقبل انتهاء الشهادة، يراجع تدقيق إعادة المنح النظام كاملًا ويفتح دورة جديدة من ثلاث سنوات.
تخضع الجهات المنظَّمة في المملكة لأكثر من إطار في الوقت نفسه. فالبنوك وشركات التمويل والتأمين تلتزم بالإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي (SAMA CSF)، والجهات الحكومية وملّاك البنى التحتية الوطنية الحساسة ومشغّلوها يلتزمون بالضوابط الأساسية للأمن السيبراني (ECC) من الهيئة الوطنية للأمن السيبراني. ويأتي ISO 27001 نظامًا إداريًا يجمع هذه المتطلبات في منظومة واحدة.
تختلف طبيعة كل إطار. فالإصدار ECC-2:2024 مجموعة ضوابط محددة تضم 4 مكونات أساسية و28 مكونًا فرعيًا و108 ضوابط أساسية و92 ضابطًا فرعيًا، تغطي حوكمة الأمن السيبراني وتعزيزه وصموده، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية. أما إطار ساما الصادر عام 2017 فيقوم على أربعة مجالات: القيادة والحوكمة، وإدارة المخاطر والالتزام، والعمليات والتقنية، والأطراف الخارجية، ويستند إلى ISO 27001 و27002 وNIST وPCI DSS، ويُقاس بمستويات النضج، والمستوى الثالث هو الحد الأدنى. ويوفّر ISO 27001 المحرّك: النطاق، ومنهجية المخاطر، والضوابط، والتدقيق، والتحسين.
التصميم العملي مكتبة ضوابط واحدة تُربط مرة واحدة. يحمل كل ضابط مرجعه في الملحق A، ورقمه في ضوابط الهيئة، وما يقابله في إطار ساما، وله مالك واحد ومجموعة أدلة واحدة. ويحدد تقييم المخاطر الأولويات، ويختبر التدقيق الداخلي الأطر الثلاثة معًا، وترى الإدارة صورة موحدة. وكل جهة تنظيمية تقيّم وفق إطارها، لذلك يجب أن يكون الربط دقيقًا والأدلة قابلة لإعادة الاستخدام.
بهذه الطريقة تبني ليمـاز النظام: نظام ISMS واحد يُستخرج منه بيان قابلية التطبيق، وموقف الامتثال لضوابط الهيئة، وتقييم النضج وفق إطار ساما، من الضوابط والسجلات نفسها. يدير فريقك برنامجًا واحدًا، ويستعد للشهادة مرة واحدة، ويجيب الهيئة وساما من الأدلة ذاتها. ويمتد الهيكل نفسه إلى ISO/IEC 27701 ونظام حماية البيانات الشخصية (PDPL) عند معالجة البيانات الشخصية.
نبني منهجية المخاطر ودورة المعالجة التي يستند إليها نظام ISMS.
نربط أعمال ISO 27001 بمتطلبات الهيئة الوطنية للأمن السيبراني وساما والمتطلبات الداخلية.
ننفّذ المعالجة التقنية، ولا نكتفي بتقرير الفجوات.
ندمج ضوابط التطوير الآمن وأدلته في مسار التسليم.
يحدد ISO/IEC 27001 متطلبات نظام إدارة أمن المعلومات (ISMS)، وهو المعيار الذي تُمنح الشهادة وفقه. أما ISO/IEC 27002 فمعيار إرشادي يشرح طريقة تطبيق كل ضابط من الضوابط الـ 93 الواردة في الملحق A، مع الغرض والإرشاد والسمات لكل ضابط. ولا تُمنح شهادة وفق ISO 27002، وإنما تستعين به الجهات في تصميم الضوابط وصياغة مبررات بيان قابلية التطبيق.
لا. انتهت الفترة الانتقالية التي حددها المنتدى الدولي للاعتماد في الوثيقة IAF MD 26 في 31 أكتوبر 2025، وانتهت معها صلاحية كل شهادة معتمدة وفق ISO/IEC 27001:2013 أو سُحبت، أيًا كان تاريخ الانتهاء المطبوع عليها. والجهة التي فاتها الانتقال تبدأ تقييمًا أوليًا جديدًا بمرحلتيه الأولى والثانية وفق ISO/IEC 27001:2022.
بيان قابلية التطبيق (SoA) وثيقة إلزامية وفق البند 6.1.3. يسرد الضوابط التي تتطلبها معالجة المخاطر ومبرر إدراجها، وحالة تطبيق كل منها، ومبرر استبعاد أي ضابط من ضوابط الملحق A الـ 93. ويعتمد عليه المدقق خريطةً لبيئة الضوابط لديك ويراجعه بندًا بندًا، لذلك يحتاج كل بند فيه إلى مالك ودليل.
تسري شهادة ISO 27001 المعتمدة في دورة مدتها ثلاث سنوات. بعد تدقيق المرحلتين الأولى والثانية، تُجري جهة منح الشهادة تدقيق متابعة مرة على الأقل كل سنة ميلادية، على ألا يتجاوز الأول 12 شهرًا من قرار المنح. وفي السنة الثالثة، وقبل انتهاء الشهادة، يراجع تدقيق إعادة المنح النظام كاملًا ويبدأ دورة جديدة.
العامل الحاسم هو أدلة التشغيل لا الوثائق. فجهة منح الشهادة تتوقع قبل المرحلة الأولى أن يكون التدقيق الداخلي ومراجعة الإدارة مخططًا لهما ومنفّذين، لذلك يجب أن يعمل النظام مدة كافية لإنتاج سجلات فعلية. والمرحلتان تدقيقان منفصلان، وتُصحَّح حالات عدم المطابقة الجوهرية قبل قرار المنح. وتخطط ليمـاز البرنامج انطلاقًا من موعد التدقيق المستهدف، وتبني الأدلة من الشهر الأول.
لا. تثبت شهادة ISO 27001 وجود نظام إداري فعّال، أما الضوابط الأساسية للأمن السيبراني (ECC) والإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي (SAMA CSF) فأطر تنظيمية لكل منها ضوابطه وتقييمه. والتداخل بينها كبير، فيحمل نظام ISMS المبني جيدًا معظم العمل: مكتبة ضوابط واحدة مربوطة بالأطر الثلاثة، وأدلة واحدة تجيب عنها جميعًا.
يدير ISO 27001 مخاطر أمن المعلومات بجميع أنواعها، أما ISO/IEC 27701 فيدير الخصوصية، ويحدد متطلبات نظام إدارة معلومات الخصوصية (PIMS) للبيانات الشخصية بصفة المتحكم أو المعالج. وإصدار 2025 الصادر في أكتوبر 2025 معيار مستقل يتكامل مع نظام ISMS القائم. وتستخدمه الجهات في المملكة لتنظيم الامتثال لنظام حماية البيانات الشخصية داخل النظام الإداري نفسه.
تشترط البنود من 4 إلى 10 معلومات موثقة تشمل: نطاق النظام، وسياسة أمن المعلومات، وإجراءات تقييم المخاطر ومعالجتها، وبيان قابلية التطبيق، والأهداف الأمنية، وأدلة الكفاءة، والتخطيط التشغيلي، ونتائج تقييم المخاطر ومعالجتها، ونتائج الرصد والقياس، وبرنامج التدقيق الداخلي ونتائجه، ونتائج مراجعة الإدارة، وحالات عدم المطابقة وإجراءاتها التصحيحية. وتضيف ضوابط الملحق A إجراءات موثقة بحسب ما يتضمنه بيان قابلية التطبيق.
شاركنا النظام أو الضابط أو المتطلب التنظيمي، وسنعود إليك بخطوة تالية واضحة.
