الفترة النهائية في التقويم الانتقالي لمعيار ISO/IEC 27001:2022
الفترة التي يجب على المنظمات المعتمدة وفق مراجعة 2013 خلالها إتمام تدقيقات الانتقال.
أعاد المعيار ISO/IEC 27001:2022 تنظيم مجموعة ضوابط نظام إدارة أمن المعلومات: إذ جُمعت الضوابط تحت أربعة محاور وأُضيفت موضوعات تهديد راهنة. وبالنسبة للمنظمات المعتمدة، لا يعني الانتقال إعادة بناء النظام بل مطابقة مجموعة الضوابط مع البنية الجديدة.
يقع في صميم الانتقال تحديث بيان قابلية التطبيق (SoA): إذ يُعاد تبرير سبب تطبيق كل ضابط أو عدم تطبيقه وفق البنية الجديدة. ويُعد تقييم المخاطر أساس هذا التبرير.
عند انتهاء فترة الانتقال، تفقد الشهادات الصادرة وفق الإصدار القديم صلاحيتها. وبالنسبة للمنظمات التي تؤجل الأمر إلى الفترة الأخيرة، يكون العنق الحقيقي للزجاجة عادةً موعد التدقيق وليس التوثيق.
أُغلقت نافذة الانتقال
كانت المدة التي حددتها وثيقة IAF MD 26 للانتقال إلى ISO/IEC 27001:2022 هي 36 شهراً، وقد أُغلقت هذه النافذة: إذ كان يجب أن تنتهي صلاحية شهادات ISO/IEC 27001:2013 غير المكتملة الانتقال أو تُسحب بعد 31 أكتوبر 2025.
أي أن شهادة نظام إدارة أمن المعلومات الصالحة اليوم يجب أن تكون صادرة وفق ISO/IEC 27001:2022. ولا تُعد الشهادة التي تشير إلى إصدار 2013 دليل مطابقة حالياً.
كان للجدول الزمني أيضاً محطات وسيطة: إذ كان جزءاً من هذه العملية استعداد هيئات الاعتماد لتقييم إصدار 2022، وبدء هيئات إصدار الشهادات في إجراء الاعتماد الأولي وإعادة الاعتماد وفق إصدار 2022 فقط.
ماذا تفعل المنظمة التي فاتها الانتقال
لا يمكن إنقاذ شهادة منتهية الصلاحية عبر "انتقال"؛ إذ تسير العملية كاعتماد جديد. ويعني هذا دورة تدقيق كاملة بدلاً من تدقيق مراقبة، وجدولاً زمنياً أطول.
وفي الوقت نفسه يستمر الجانب التجاري في العمل: فتقديم شهادة منتهية الصلاحية كأنها سارية يُنتج فشلاً في العناية الواجبة للعميل، ونزاعات تعاقدية، ومشكلات في تقييم الموردين.
البنية التي أدخلها إصدار 2022
أعادت مراجعة 2022 تنظيم ضوابط الملحق A: إذ جُمعت الضوابط تحت أربعة محاور وأُضيفت ضوابط جديدة. ويجب إعادة بناء بيان قابلية التطبيق (SoA) وفق هذه البنية الجديدة.
أصعب جزء عملياً ليس مطابقة الضوابط القائمة مع الترقيم الجديد، بل إرساء ممارسة عاملة فعلياً للضوابط المضافة حديثاً. فالمطابقة عمل جدولي؛ أما التطبيق فهو عمل إجرائي.
ما الذي يضمنه نظام إدارة أمن المعلومات
لا تُظهر شهادة نظام إدارة أمن المعلومات أن المنظمة لن تتعرض لانتهاك أبدًا؛ بل تُظهر أن المنظمة تعرف أصولها المعلوماتية وقيّمت مخاطرها وتُشغِّل الضوابط التي اختارتها.
جوهر النظام هو تقييم المخاطر واختيار الضوابط. وقائمة الضوابط في ملحق المعيار ليست قائمة إلزامية: إذ تقرر المنظمة أي الضوابط تُطبَّق بناءً على نتيجة تقييم المخاطر وتكتب مبررًا للضوابط التي لا تُطبِّقها.
تُعد وثيقة التبرير هذه البند الأكثر فحصًا في التدقيق: فعدم تطبيق ضابط ما ليس عيبًا، لكن تركه دون تبرير عيب.
ما الذي يجب فعله في الفترة الأخيرة من الانتقال
في الفترة الأخيرة من الانتقال، يظهر خطران معًا: يضيق جدول المدقق ويقل الوقت المتبقي لإغلاق أي عدم مطابقة يُعثر عليها. وعند اجتماع الأمرين، قد تنقطع صلاحية الشهادة.
لذا فإن العمل الواجب إنجازه في تلك الفترة الأخيرة ليس بدء عملية جديدة، بل أولًا تحديد الوضع الحالي بوضوح: أي البنود مستوفاة، وأي السجلات ناقصة، ومتى يمكن الحصول على موعد للتدقيق.
تُعد إعادة تنظيم مجموعة الضوابط أبرز مهمة في الانتقال: إذ تُخطَّط الضوابط وفق التجميع الجديد ويُجدَّد إعلان قابلية التطبيق وفق هذه البنية. وهذا من الناحية الفنية عمل تخطيط؛ ولا يلزم إعادة بناء الضوابط نفسها من الصفر.
ما الذي يجب فعله؟
- 1تحقق من تاريخ صلاحية شهادتك والوقت المتبقي من فترة الانتقال.
- 2أعد تنظيم بيان قابلية التطبيق (SoA) وفق بنية الضوابط الجديدة.
- 3احجز موعد التدقيق الانتقالي مبكرًا.
هذه المقالة لأغراض إعلامية ولا تُعد رأيًا قانونيًا. ويعتمد كيفية تطبيق لائحة ما على منتجك على الخصائص التقنية للمنتج والسوق المستهدف؛ ولا يمكن تحديد النطاق الدقيق إلا بفحص المنتج.