ما هي الشهادة؟
يحدد معيار ISO/IEC 27001 متطلبات نظام إدارة أمن المعلومات (ISMS) لحماية سرية المعلومات وسلامتها وتوافرها. إنه قائم على المخاطر: تقوم المنظمة بتقييم أصولها وتهديداتها، وتوثيق الضوابط الواردة في الملحق أ والتي سيتم تطبيقها، جنبًا إلى جنب مع الأساس المنطقي، في بيان قابلية التطبيق (SoA). الإصدار الحالي هو ISO/IEC 27001:2022، ويحتوي الملحق أ على 93 عنصر تحكم ضمن أربعة مواضيع.
لمن هو مطلوب؟
- مقدمو البرامج والخدمات SaaS والخدمات السحابية
- تقوم مؤسسات التمويل والرعاية الصحية والتجارة الإلكترونية بمعالجة بيانات العملاء
- مطلوب من الموردين الإجابة على الاستبيانات الأمنية لعملاء المؤسسة (تقييم البائع)
- المنظمات التي توفر البنية التحتية الحيوية والخدمات العامة
- يتعين على مراقبي البيانات إثبات إجراءاتهم الفنية والتنظيمية بموجب KVKK/GDPR
هل هو إلزامي؟
عموما ليس إلزاميا؛ هناك استثناءات القطاع. المحرك الرئيسي في الممارسة العملية هو التعاقدي: يحتاج المشترون من المؤسسات الكبرى إلى شهادة ISO/IEC 27001 من مورديهم. لا تفرض KVKK واللائحة العامة لحماية البيانات (GDPR) شرطًا للحصول على شهادة ولكنها تتطلب اتخاذ تدابير فنية وتنظيمية مناسبة؛ يتم استخدام الشهادة كدليل على هذه التدابير.
نطاق المواصفة
- البنود 4-10 — متطلبات نظام إدارة أمن المعلومات: السياق، القيادة، التخطيط، الدعم، التشغيل، تقييم الأداء، التحسين
- عملية تقييم المخاطر ومعالجة المخاطر؛ بيان قابلية التطبيق (SoA)
- الملحق أ / الموضوع 1 — الضوابط التنظيمية (37 ضوابط): السياسات، الأدوار، إدارة الأصول، العلاقات مع الموردين، إدارة الحوادث، الاستمرارية، الامتثال
- الملحق أ / الموضوع 2 — ضوابط الأشخاص (8 ضوابط): الفحص، شروط التوظيف، الوعي والتدريب، العملية التأديبية، العمل عن بعد
- الملحق أ / الموضوع 3 — الضوابط المادية (14 عنصر تحكم): المناطق الآمنة، التحكم في الدخول، أمن المعدات، مكتب خالي
- الملحق أ / الموضوع 4 — الضوابط التكنولوجية (34 عنصر تحكم): أمن نقطة النهاية، والوصول المميز، والتشفير، والتسجيل، وإدارة الثغرات الأمنية، وأمن الشبكات، والتطوير الآمن، ومنع تسرب البيانات
عملية منح الشهادة
- 1التقديميتم تحديد مجال نشاط المنظمة وعدد الموظفين وعدد المواقع وحدود النطاق. يتم حساب عدد أيام التدقيق من هذه المعلومات.
- 2مراجعة المستندات (المرحلة 1)يتم فحص وثائق نظام الإدارة، وتعريف النطاق، وتقييم المخاطر، وسجلات المراجعة الداخلية/المراجعة الإدارية؛ يتم تقييم الاستعداد للتدقيق في الموقع.
- 3تدقيق الشهادة (المرحلة 2)يتم التحقق في الموقع من أن النظام مطبق وفعال. يتم تصنيف النتائج على أنها عدم مطابقة رئيسية/ثانوية أو ملاحظة.
- 4إغلاق حالات عدم المطابقةتقدم المنظمة تحليلاً للأسباب الجذرية وخطة عمل تصحيحية. ولا يتم إصدار الشهادة حتى يتم إغلاق حالات عدم المطابقة الرئيسية.
- 5إصدار الشهادةيتم إصدار الشهادة بعد المراجعة من قبل صانع قرار مستقل. لا يمكن لفريق التدقيق اتخاذ قرار الاعتماد.
- 6عمليات تدقيق المراقبةيتم إجراء تدقيق المراقبة مرة واحدة على الأقل سنويًا خلال فترة صلاحية الشهادة. لا يمكن أن تتجاوز المراقبة الأولى 12 شهرًا من اليوم الأخير للمرحلة الثانية.
- 7إعادة الاعتمادوفي نهاية ثلاث سنوات، تتم إعادة تدقيق النظام بأكمله؛ ويجب إكماله قبل انتهاء صلاحية الشهادة.
مدة الصلاحية
شهادات نظام الإدارة صالحة لمدة ثلاث سنوات. يتم إجراء تدقيق مراقبة واحد على الأقل سنويًا خلال هذه الفترة؛ يتم تعليق الشهادة في حالة عدم إجراء المراقبة. يتم الانتهاء من تدقيق إعادة الاعتماد في نهاية السنة الثالثة.
المستندات المطلوبة
- سجل السجل التجاري ورخصة التشغيل
- الهيكل التنظيمي للمنظمة وعدد الموظفين
- قائمة المواقع/الفروع ضمن النطاق
- دليل نظام الإدارة أو وثائق العملية
- سجلات التدقيق الداخلي ومراجعة الإدارة
- التصاريح القانونية والتراخيص ووثائق التشغيل إن وجدت
تكلفة الشهادة
لا يوجد سعر قائمة ثابت؛ يتم حساب التكلفة بناءً على المتغيرات التالية وتقديمها كتابياً في عرض السعر.
- عدد الموظفين ضمن النطاق (يحدد بشكل مباشر عدد أيام التدقيق)
- عدد المواقع والفروع؛ ما إذا كان يتم تطبيق أخذ العينات من مواقع متعددة
- مستوى خطورة النشاط وتعقيد العملية
- عدد المعايير التي سيتم اعتمادها — يؤدي التدقيق المتكامل إلى تقليل عدد الأيام
- دورة مدتها ثلاث سنوات: شهادة + عمليتي تدقيق للمراقبة
الاعتماد
يتم تنفيذ شهادة نظام الإدارة ضمن نطاق ISO/IEC 17021-1. هيئة الاعتماد معتمدة من قبل هيئة اعتماد طرف في اتفاقية الاعتراف المتعددة الأطراف IAF (IAF MLA)؛ تنشئ هذه الاتفاقية سلسلة من الاعتراف الدولي الذي يضمن قبول الوثيقة الصادرة في دولة ما في الدول الأخرى. حصلت EUROLAB على اعتماد معترف به دوليًا من هيئات اعتماد أعضاء IAF ضمن نطاق ISO/IEC 17021-1.
يختلف النطاق الذي يمكن تقديم هذا المخطط ضمنه حسب منتجكم ونشاطكم؛ ويتم تأكيده كتابياً في مرحلة عرض السعر.
النطاق والتفويضاتشهادات ذات صلة
الأسئلة الشائعة
هل أنا ملزم بتطبيق جميع الضوابط الـ 93؟
لا. الملحق أ عبارة عن مجموعة مرجعية من الضوابط؛ وأي منها يتم تطبيقه يتم تحديده من خلال نتيجة تقييم المخاطر. يتم كتابة الأساس المنطقي لكل عنصر رقابة لم يتم تطبيقه في بيان التطبيق، ويتم فحص هذا الأساس المنطقي أثناء عملية التدقيق.
هل تعني شهادة ISO/IEC 27001 أنني متوافق مع KVKK؟
ليس مباشرة. KVKK هو إطار للامتثال القانوني؛ ISO/IEC 27001 هو نظام إدارة الأمن. تعتبر الشهادة دليلاً قويًا على اتخاذ التدابير الفنية والتنظيمية، ولكنها لا تحل محل إشعار الخصوصية والموافقة والتزامات مراقبة البيانات. يعد ISO/IEC 27701 امتدادًا مباشرًا لجانب الخصوصية.
هل أحتاج إلى الانتقال من إصدار 2013 إلى إصدار 2022؟
نعم، الانتقال إجباري، والشهادات الصادرة مقابل نسخة 2013 فقدت صلاحيتها. نظرًا لأن هيكل الملحق أ قد تغير، فإن بيان قابلية التطبيق يحتاج إلى إعادة رسمه أثناء عملية النقل.