بعد القراءة، ستتمكن من فهم ما يتطلبه المعيار، وكيف تجري عملية الشهادة، ومن أين تبدأ.
التعريف
لإعلان المطابقة، يجب على الشركة استيفاء البنود من 4 إلى 10: السياق، والقيادة، والتخطيط، والدعم، والتشغيل، وتقييم الأداء، والتحسين.
يدرج الملحق A من إصدار 2022 ثلاثة وتسعين ضابطاً في أربعة محاور: تنظيمية، ومتعلقة بالأفراد، ومادية، وتقنية. ويحدد تقييم المخاطر أيها مطلوب، ويحتاج كل استبعاد إلى مبرر.
لماذا يهم
يطلبه كبار المشترين باستمرار، لأن الشهادة المعتمدة توفر عليهم جزءاً من التحقق من مورّديهم.
وتظهر فائدته الأخرى داخلياً. فجهود الأمن المتفرقة تصبح نظاماً واحداً يقوده الخطر وتراجعه الإدارة.
كيف يعمل
حدد النطاق واحصل على التزام الإدارة. قيّم المخاطر، واختر الضوابط، وسجّلها في بيان قابلية التطبيق.
شغّل الضوابط واتركها تعمل مدة كافية لتنتج سجلات. ثم يُظهر تدقيق داخلي ومراجعة الإدارة ما يحتاج إلى تصحيح.
للحصول على الشهادة، تدقق جهة معتمدة الوثائق أولاً ثم الممارسة. وتسري الشهادة عادة ثلاث سنوات، مع تدقيقات متابعة خلالها.
حالة تطبيقية
تحصر شركة SaaS من 40 شخصاً نظامها في منتجها ودعمها. وتستبعد ضوابط الملحق A المتعلقة بالوسائط المادية التي لا تملكها، وتدوّن السبب.
بعد أول تدقيق داخلي ومراجعة للإدارة، يرصد تدقيق الشهادة حالتي عدم مطابقة طفيفتين. فتغلق الشركة كلاً منهما بخطة إجراءات تصحيحية.
ممارسات جيدة
- اختر نطاقاً يطابق ما يشتريه العملاء منك فعلاً.
- قيّم المخاطر قبل كتابة السياسات، كي تلبي الوثائق احتياجات حقيقية.
- أعد استخدام السجلات التي تنتجها فرقك أصلاً كأدلة.
- اعقد مراجعة الإدارة فعلاً، واخرج منها بقرارات.
- أدرج المورّدين والخدمات السحابية التي يعتمد عليها النطاق.
أخطاء شائعة
- كتابة عشرات السياسات في الشهر الأول. فنادراً ما تطابق طريقة عمل الناس، وسرعان ما تتقادم.
- ملء الملحق A كقائمة تحقق، مما يتخطى المنطق الذي بُني عليه المعيار.
- اختيار نطاق ضيق إلى حد أن الشهادة لا تطمئن أحداً.
- ترك النظام يخمد بين تدقيقات المتابعة، ثم التسابق كل عام.
أسئلة
- هل معيار ISO 27001 إلزامي؟
- لا يفرضه قانون في العادة، لكن العقود والمناقصات تشترطه كثيراً.
- كم تستغرق شهادة ISO 27001؟
- يتوقف ذلك على النطاق ونقطة الانطلاق. وكثيراً ما تحتاج الشركات الصغيرة إلى عدة أشهر، لأن المدقق يتوقع سجلاً من التشغيل الفعلي.
- ما الفرق بين ISO 27001 وISO 27002؟
- يتضمن ISO/IEC 27001 المتطلبات التي يجري تدقيقها. ويقدم ISO/IEC 27002 إرشادات لتطبيق الضوابط.
- ما الوثائق الإلزامية في ISO 27001؟
- منها: النطاق، وسياسة الأمن، وعملية تقييم المخاطر ومعالجتها ونتائجهما، وبيان قابلية التطبيق، ونتائج التدقيقات والمراجعات.
- هل يضمن ISO 27001 الامتثال للائحة العامة لحماية البيانات؟
- لا. فهو يساعد في التزامات الأمن، بينما تشمل اللائحة أيضاً المشروعية وحقوق الأشخاص وغير ذلك.