تحديد السياق
النطاق والإطار العام و– وهو محوري في نسخة 2022 – معايير قبول المخاطر وشهية المخاطر (risk appetite) التي تعتمدها الإدارة.
GRC · إدارة المخاطر
ISO/IEC 27005 السيطرة على المخاطر بمنهجية
يقدّم ISO/IEC 27005 الدليل الإرشادي المعترف به (Guidance) لإدارة مخاطر أمن المعلومات – أي المنهجية التي تقوم عليها عملية تقييم المخاطر ومعالجتها في نظام إدارة أمن المعلومات (ISMS) لديكم. ونحن نحوّله إلى عملية متينة وجاهزة للتدقيق.
2022 · الإصدار الرابعالنسخة الحالية (أكتوبر 2022)
دليل إرشاديGuidance – المتطلبات القابلة للتدقيق موجودة في ISO 27001 فقط
غير قابل للاعتماديدعم الحصول على شهادة ISO 27001 لكنه لا يحل محلها
NIS2 · DORAأساس للمادة 21 من NIS2 ولإدارة مخاطر تقنية المعلومات والاتصالات وفق DORA
ما الذي يقدّمه ISO/IEC 27005
ISO/IEC 27005:2022 هو الدليل الدولي لإدارة مخاطر أمن المعلومات (information security risk management). ويصف المعيار كيف تحدد المؤسسات المخاطر وتحللها وتقيّمها وتعالجها بشكل منهجي – ليسد بذلك الفجوة بين «ماذا» في ISO/IEC 27001 و«كيف» في الممارسة اليومية.
وهو دليل إرشادي بحت ولا يتضمن متطلبات قابلة للاعتماد. وتكمن قيمته في المنهجية: إذ يوفّر ISO/IEC 27005 الأساس لتقييم المخاطر ولخطة معالجة المخاطر (risk treatment plan) التي ينشأ عنها بيان قابلية التطبيق (Statement of Applicability, SoA) في نظام ISMS لديكم. والإصدار الرابع لعام 2022 متوائم بشكل وثيق مع ISO 31000 ومع ISO/IEC 27001:2022.
المكوّنات الأساسية للمعيار
ينظّم ISO/IEC 27005:2022 عملية إدارة المخاطر بوضوح على امتداد دورة إدارة المخاطر.
تحديد المخاطر
إما على أساس الأصول (الأصول والتهديدات والثغرات الأمنية) أو على أساس الأحداث (السيناريوهات والأحداث) – ويضع إصدار 2022 النهجين على قدم المساواة.
تحليل المخاطر
تحديد احتمالية الحدوث والأثر (العواقب) لكل خطر – نوعيًا أو كميًا أو بصيغة مختلطة، بما يتسق مع المعايير المحددة.
تقدير المخاطر
ترتيب أولويات المخاطر المحلَّلة مقابل معايير القبول، لاتخاذ القرار بشأن معالجتها أو قبولها.
معالجة المخاطر
اختيار الخيارات (التقليل، المشاركة، التجنب، القبول)، واستخلاص الإجراءات (بما في ذلك من الملحق A في ISO/IEC 27001)، وخطة معالجة المخاطر مع مسؤول وموعد محدد.
التواصل والمراقبة
تواصل مستمر مع أصحاب المصلحة إلى جانب المراقبة والمراجعة (monitoring & review)، لكي تبقى المخاطر والإجراءات محدّثة.
الجسر نحو التزاماتكم
ISO/IEC 27005 هو المرتكز المنهجي لعدة متطلبات تنظيمية ومعيارية في منطقة DACH.
ISO/IEC 27001
يوفّر المنهجية للبند 6.1 (الإجراءات للتعامل مع المخاطر والفرص) وللبندين 8.2/8.3 (تقييم المخاطر ومعالجتها) – وبالتالي الأساس لبيان قابلية التطبيق (SoA) وخطة معالجة المخاطر.
NIS2 (المادة 21)
يمكن تبرير النهج القائم على المخاطر المطلوب للإجراءات التقنية والتنظيمية وتوثيقه بوضوح من خلال عملية متوافقة مع ISO 27005.
DORA
تتطلب إدارة مخاطر تقنية المعلومات والاتصالات في القطاع المالي (الفصل II من DORA) عملية متينة لإدارة المخاطر – ويوفّر ISO/IEC 27005 المنهجية المناسبة والمعترف بها.
ISO 31000
تستند نسخة 2022 بشكل وثيق إلى الإطار الشامل لإدارة المخاطر ISO 31000، بحيث تندمج مخاطر تقنية المعلومات في إدارة المخاطر المؤسسية (ERM).
هكذا نعمل معًا
من تحديد الوضع الراهن إلى عملية إدارة مخاطر مُطبَّقة فعليًا وجاهزة للتدقيق.
01
1 · تحديد الوضع الراهن
نراجع عملية إدارة المخاطر الحالية لديكم ومعاييرها وسجلاتها، ونحدد الفجوات مقارنةً بـ ISO/IEC 27005 وبالتزاماتكم التنظيمية.
02
2 · المنهجية والمعايير
نحدد معًا معايير المخاطر والمقاييس وشهية مخاطر تعتمدها الإدارة – على أساس الأصول أو الأحداث، بما يناسب مؤسستكم.
03
3 · التقييم والمعالجة
نُجري تقييم المخاطر، ونستخلص خيارات المعالجة، ونُعدّ خطة معالجة المخاطر مع مسؤولين ومواعيد واضحة.
04
4 · الترسيخ والمراقبة
نُرسي المراقبة ودورات المراجعة ورفع التقارير إلى الإدارة – بدعم من أداة VamiGRC، لكي تبقى العملية محدّثة على الدوام.
ما مدى نضج إدارة المخاطر لديكم؟
أربعة أسئلة قصيرة تُظهر لكم في دقيقتين أين تقف إدارة مخاطر أمن المعلومات لديكم.
1هل توجد عملية موثقة لإدارة المخاطر بمعايير ومقاييس محددة؟
2هل اعتمدت الإدارة شهية المخاطر بشكل رسمي؟
3هل تُسجَّل المخاطر مركزيًا وبشكل كامل ومحدّث في سجل؟
4هل لكل خطط المعالجة مسؤول مُسمّى وموعد مُلزِم؟
الفحص الذاتي توجيه أولي ولا يغني عن تحليل فجوات رسمي.
مصادر إضافية
المصدر الأساسي للمعيار والخدمات المناسبة من VamiSec.
الأسئلة الشائعة
أهم الإجابات حول ISO/IEC 27005.
هل يمكن الحصول على شهادة وفق ISO/IEC 27005؟
لا. ISO/IEC 27005 دليل إرشادي بحت ولا يتضمن متطلبات قابلة للتدقيق. يُعتمد نظام ISMS وفق ISO/IEC 27001؛ ويوفّر ISO/IEC 27005 المنهجية التي يقوم عليها.
ما الجديد في إصدار 2022؟
الإصدار الرابع أكثر توافقًا مع ISO 31000 وISO/IEC 27001:2022، ويضع النهج القائم على الأصول والنهج القائم على الأحداث على قدم المساواة، ويفصل بين تقييم المخاطر ومعالجتها بوضوح أكبر.
ما العلاقة بين ISO/IEC 27005 وISO/IEC 27001؟
يشترط ISO/IEC 27001 في البند 6.1 والبندين 8.2/8.3 وجود عملية لإدارة المخاطر، لكنه لا يفرض منهجًا محددًا. ويسد ISO/IEC 27005 هذه الفجوة ويوفّر المنهجية للتقييم والمعالجة وخطة معالجة المخاطر.
هل يساعد ISO/IEC 27005 في NIS2 وDORA؟
نعم. يمكن تبرير وتوثيق كل من النهج القائم على المخاطر في NIS2 (المادة 21) وإدارة مخاطر تقنية المعلومات والاتصالات وفق DORA بشكل متين من خلال عملية متوافقة مع ISO 27005.
على أساس الأصول أم على أساس الأحداث – أيهما الصحيح؟
كلاهما مقبول. ينطلق النهج القائم على الأصول من الأصول والتهديدات والثغرات الأمنية، بينما ينطلق النهج القائم على الأحداث من السيناريوهات. نختار معكم النهج الذي يناسب نطاق مؤسستكم ونضجها – بما في ذلك الصيغة المختلطة.
اجعلوا إدارة المخاطر لديكم جاهزة للتدقيق
نبني معكم عملية لإدارة المخاطر متوافقة مع ISO/IEC 27005 تدعم ISO 27001 وNIS2 وDORA على حد سواء.