الجزء 1 – نظرة عامة ومفاهيم (27036-1:2021)
يحدد المصطلحات والمبادئ والفهم المشترك للمخاطر الأمنية في العلاقات مع المورّدين. ويشكّل الأساس المفاهيمي لبقية الأجزاء.
GRC · مخاطر المورّدين
ISO/IEC 27036 السيطرة على مخاطر سلسلة التوريد والأطراف الثالثة
الإطار الدولي لأمن المعلومات في العلاقات مع المورّدين (Supplier Relationships) – من الاختيار حتى إنهاء العلاقة. ونترجم المعيار إلى إدارة متينة لمخاطر الأطراف الثالثة (Third-Party Risk Management, TPRM) تدعم NIS2 وDORA من الناحية المعيارية.
27036-1:2021 – -4:2016عائلة معايير متعددة الأجزاء (الأجزاء 1–4)
إطار ودليل إرشاديمتطلبات (الجزء 2) + Guidance
غير قابل للاعتمادلا توجد شهادة مستقلة
NIS2 · DORA · ISO 27001يغطي إجراءات سلسلة التوريد
ما الذي يتناوله ISO/IEC 27036
ISO/IEC 27036 (Cybersecurity – Supplier relationships) هي عائلة المعايير المعترف بها دوليًا لأمن المعلومات في العلاقات مع المورّدين والأطراف الثالثة. وهي تنظّم إدارة مخاطر المورّدين على امتداد دورة حياة العلاقة التجارية بأكملها – من التخطيط والاختيار مرورًا بالاتفاق التعاقدي والتشغيل الجاري وصولًا إلى الإنهاء المنظّم.
تتكون العائلة من أربعة أجزاء: يقدّم الجزء 1 (27036-1:2021) نظرة عامة ومفاهيم، ويحدد الجزء 2 (27036-2:2022) المتطلبات المُلزِمة للجهات المستحوِذة والمورّدين، ويتناول الجزء 3 (27036-3:2023) أمن سلسلة توريد تقنية المعلومات والاتصالات (الأجهزة والبرمجيات والخدمات)، ويعالج الجزء 4 (27036-4:2016) تحديدًا أمن الخدمات السحابية. وISO/IEC 27036 إطار إرشادي وإطار متطلبات – غير قابل للاعتماد بشكل مستقل – ويكمّل ضوابط المورّدين A.5.19–A.5.23 من ISO/IEC 27001.
الأجزاء الأربعة لعائلة المعايير
بنية ISO/IEC 27036 ومكوّناتها الأساسية
الجزء 2 – المتطلبات (27036-2:2022)
يحدد متطلبات أمن المعلومات الأساسية لتعريف العلاقات بين المورّدين والجهات المستحوِذة وتنفيذها وتشغيلها ومراقبتها وتحسينها. وهو الجوهر المعياري للعائلة.
الجزء 3 – سلسلة توريد تقنية المعلومات والاتصالات (27036-3:2023)
إرشادات لأمن سلسلة توريد الأجهزة والبرمجيات والخدمات (ICT Supply Chain). ويتناول الشفافية والمنشأ والسلامة عبر سلاسل التوريد متعددة المستويات.
الجزء 4 – الخدمات السحابية (27036-4:2016)
Guidance لعملاء الخدمات السحابية ومزوّديها، لإظهار المخاطر الأمنية الناشئة عن استخدام الخدمات السحابية والتحكم فيها عبر النماذج العامة والهجينة والخاصة.
دورة حياة العلاقة
تتبع جميع الأجزاء دورة الحياة: التخطيط، والاختيار، والاتفاق، والتشغيل، والإنهاء. وتُرسَّخ المتطلبات الأمنية بما يتناسب مع كل مرحلة بدلًا من فحصها عند التأهيل فقط.
الأدوار: الجهات المستحوِذة والمورّدون
يتناول المعيار طرفي العلاقة بالتزامات متقابلة – فتنشأ اتفاقيات متوازنة وقابلة للتدقيق بدلًا من مجموعات بنود أحادية الجانب.
مرتكز الجسر: ISO/IEC 27036 في منظومة الامتثال لديكم
لماذا يصبح المعيار برنامجًا إلزاميًا في منطقة DACH
NIS2 – أمن سلسلة التوريد
تشترط المادة 21 الفقرة 2 البند (د) إجراءات لأمن سلسلة التوريد والعلاقات مع المزوّدين. ويوفّر ISO/IEC 27036 المنهجية المعيارية للوفاء بهذا الالتزام بشكل منظّم وقابل للتدقيق.
DORA – مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات
تشترط DORA إدارة شاملة لمخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات على امتداد دورة حياة العقد بأكملها. ومنطق دورة الحياة في ISO/IEC 27036 (من التخطيط حتى الإنهاء) يعكس هذا المتطلب تحديدًا.
ISO/IEC 27001 – الضوابط A.5.19–A.5.23
يدعم ISO/IEC 27036 منهجيًا ضوابط المورّدين في ISO/IEC 27001:2022 (العلاقات مع المورّدين، والاتفاقيات، وسلسلة توريد تقنية المعلومات والاتصالات، والمراقبة، والسحابة) ويمنحها عمقًا.
CRA والعناية الواجبة في عمليات الاندماج والاستحواذ
ينقل قانون المرونة السيبرانية الأوروبي (CRA) التزامات سلسلة توريد البرمجيات إلى الشركات المصنِّعة؛ وفي عمليات الاندماج والاستحواذ تصبح مخاطر الأطراف الثالثة عاملًا في الصفقة. ويمنح ISO/IEC 27036 المجالين لغة مشتركة.
هكذا نعمل معًا
من رصد الوضع الراهن إلى عملية TPRM مُطبَّقة فعليًا
01
1 – رصد الوضع الراهن ودرجة الأهمية
نرصد منظومة المورّدين ومقدّمي الخدمات لديكم، ونصنّفها حسب درجة الأهمية، ونطابق العقود القائمة مع متطلبات الجزء 2.
02
2 – تحليل الفجوات وصورة المخاطر
مقارنة عملياتكم مع ISO/IEC 27036 ومع التزامات NIS2 وDORA. وتحصلون على صورة مخاطر مرتّبة حسب الأولوية وخارطة طريق ملموسة للإجراءات.
03
3 – العمليات والإطار التعاقدي
نُرسّخ دورة حياة العلاقة في عملياتكم – معايير الاختيار، والبنود الأمنية، وحقوق التدقيق، وترتيبات الخروج – وندمجها في نظام ISMS لديكم.
04
4 – التشغيل والمراقبة المستمرة
مراقبة جارية، وتقييمات دورية للمورّدين، وتقارير مؤشرات أداء (KPI) توفّر أدلة الإثبات لعمليات التدقيق والرقابة – وعند الطلب كخدمة GRC as a Service.
الموارد وأدلة الإثبات
المصادر الأساسية وعروض VamiSec ذات الصلة
مصادر المعايير الرسمية
خدمات VamiSec المناسبة
الأسئلة الشائعة
إجابات موجزة حول ISO/IEC 27036
هل يمكن الحصول على شهادة وفق ISO/IEC 27036؟
لا. ISO/IEC 27036 إطار إرشادي وإطار متطلبات وغير قابل للاعتماد بشكل مستقل. يتم الاعتماد عبر ISO/IEC 27001؛ ويدعم ISO/IEC 27036 هناك منهجيًا ضوابط المورّدين A.5.19–A.5.23.
ما العلاقة بين ISO/IEC 27036 وNIS2؟
تشترط NIS2 صراحةً في المادة 21 الفقرة 2 البند (د) إجراءات لأمن سلسلة التوريد. ويوفّر ISO/IEC 27036 المنهجية المعترف بها لتنفيذ هذا الالتزام بشكل منظّم وموثّق وقابل للتدقيق.
هل يغطي المعيار أيضًا مخاطر الأطراف الثالثة وفق DORA؟
نعم، من الناحية المعيارية. تشترط DORA إدارة مخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات على امتداد دورة حياة العقد بأكملها – وهو بالضبط منطق دورة الحياة في ISO/IEC 27036 من التخطيط حتى الإنهاء.
أي جزء نحتاج إليه أولًا؟
الجزء 2 (المتطلبات) هو الجوهر المعياري وعادةً نقطة البداية. ويوفّر الجزء 1 الإطار المصطلحي، ويتعمق الجزء 3 في سلسلة توريد تقنية المعلومات والاتصالات، ويصبح الجزء 4 ذا صلة بمجرد استخدام خدمات سحابية.
ما علاقة ISO/IEC 27036 بـ CRA؟
يتناول قانون المرونة السيبرانية (Cyber Resilience Act) في المقام الأول التزامات الشركات المصنِّعة المتعلقة بسلسلة توريد المنتجات والبرمجيات. ويوفّر ISO/IEC 27036 الإطار التنظيمي للعلاقات الكامنة خلف ذلك – ويكمّل كل منهما الآخر.
إدارة متينة لمخاطر سلسلة التوريد والأطراف الثالثة
ندمج ISO/IEC 27036 في عملياتكم – بما يتوافق مع NIS2 وDORA ونظام ISMS القائم لديكم. تحدّثوا مع مستشارينا ومستشاراتنا.