الأنواع الأربعة
- السياسة: ما يجب أن يحدث ولماذا. قصيرة ومستقرة وتعتمدها الإدارة.
- المعيار: القاعدة المحددة والقابلة للقياس، مثل الحد الأدنى لطول كلمة المرور.
- الإجراء: كيف يُنفَّذ الأمر خطوة بخطوة، ومن ينفذ كل خطوة.
- الإرشاد: نصيحة بالممارسة الجيدة، غير إلزامية.
كيف تعرف أين يوضع كل شيء
- إذا تغيّر بتغيّر أداة ما، فليس مكانه في السياسة.
- إذا قال من يفعل ماذا وبأي ترتيب، فهو إجراء.
- إذا كان عدم فعله قد يُفشلك في التدقيق، فلا ينبغي أن يكون إرشاداً.
- إذا قالت وثيقتان الشيء نفسه، فستصبح إحداهما خاطئة: احتفظ به في واحدة وأحِل إليها.
من يعتمد ماذا
تعتمد الإدارة السياسات. ويعتمد مالكو العمليات عادة الإجراءات والمعايير. وتحمل كل وثيقة اسم مسؤولها وإصدارها وتاريخ اعتمادها وموعد مراجعتها التالية.
أسئلة
- هل يشترط ISO 27001 إجراءات؟
- يشترط معلومات موثقة حيث ينص المعيار وحيث تراها ضرورية. ويطلب الضابط 5.37 من الملحق A إجراءات تشغيل موثقة.
- هل يمكن أن تضم وثيقة واحدة السياسة والإجراء؟
- في الشركة الصغيرة، نعم. لكن أبقهما في جزأين منفصلين: فالقواعد تتغير أقل من الخطوات.