ISO/IEC 27001: المعيار القابل للحصول على الشهادة في أمن المعلومات

يتبع ISO/IEC 27001:2022 البنية الأساسية الموحّدة لمعايير أنظمة الإدارة من ISO ‏(High Level Structure). وترد المتطلبات الملزمة في البنود من 4 إلى 10: سياق المؤسسة (4)، والقيادة (5)، والتخطيط (6)، والدعم (7)، والتشغيل (8)، وتقييم الأداء (9)، والتحسين (10). وتجسّد هذه البنود معًا دورة PDCA – من فهم البيئة مرورًا بتقييم المخاطر والتنفيذ وصولًا إلى التدقيق الداخلي ومراجعة الإدارة والتحسين المستمر. وبفضل البنية المشتركة يمكن دمج نظام ISMS مع أنظمة إدارة أخرى مثل ISO 9001.

يتضمن الملحق A ‏93 إجراءً مرجعيًا في أربعة مجالات موضوعية: Controls تنظيمية (A.5، ‏37)، وControls بشرية (A.6، ‏8)، وControls مادية (A.7، ‏14)، وControls تقنية (A.8، ‏34). ويقدّم المعيار المرافق ISO/IEC 27002:2022 إرشادات التنفيذ. ويجري الاختيار على أساس المخاطر: يُوثَّق كل Control في بيان قابلية التطبيق على أنه قابل للتطبيق أو – مع التعليل – مستبعد. ومنذ انتهاء الفترة الانتقالية في 31 أكتوبر 2025 لا تكون صالحة إلا الشهادات الصادرة وفق إصدار :2022.

يجري الحصول على الشهادة لأول مرة على مرحلتين: في تدقيق Stage 1 تفحص جهة منح الشهادات وثائق ISMS والجاهزية للحصول على الشهادة (ومنها نطاق التطبيق وتقييم المخاطر وبيان قابلية التطبيق)، وفي تدقيق Stage 2 تفحص التنفيذ الفعّال على أرض الواقع – من خلال المقابلات والجولات الميدانية والعيّنات. والشهادة صالحة لثلاث سنوات؛ وفي العامين التاليين تُجرى عمليات تدقيق رقابية سنوية، وقبل انتهاء الدورة يُجرى تدقيق لتجديد الشهادة. وتنظّم ISO/IEC ⁦17021-1⁩ وISO/IEC ⁦27006-1⁩:2024 المتطلبات الخاصة بجهات منح الشهادات المعتمدة؛ وفي ألمانيا تُعدّ DAkkS جهة الاعتماد المختصة.

يُعدّ نظام ISMS الحاصل على شهادة دليل الإثبات الشائع على إدارة أمنية منهجية. وبالنسبة لتوجيه NIS2 ‏(EU) 2022/2555، ربطت ENISA في Technical Implementation Guidance ‏(06/2025) إجراءات إدارة المخاطر وفق المادة 21(2) بعدة معايير، منها ISO/IEC 27001:2022 – فالشهادة لا تحلّ تلقائيًا محلّ المطابقة لـNIS2، لكنها تغطي الإجراءات المطلوبة بنيويًا إلى حد كبير. كما أن كتالوج التدقيق VDA ISA الخاص بـTISAX في صناعة السيارات متوافق مع ISO/IEC 27001:2022 منذ الإصدار 6؛ ويُفحص TISAX-Label بشكل منفصل، لكن وجود نظام ISMS قائم يختصر التحضير بشكل ملحوظ. وفي عمليات تدقيق العملاء والمناقصات، تقلّل الشهادة من أدلة الإثبات الفردية والاستبيانات المتكررة.

يبدأ الإدخال بتحليل للفجوات مقابل البنود من 4 إلى 10 والملحق A، إلى جانب تحديد نطاق التطبيق. ويلي ذلك تقييم المخاطر ومعالجتها (البند 6)، اللذان ينتج عنهما بيان قابلية التطبيق (Statement of Applicability، SoA). ثم تُنفَّذ السياسات والعمليات والـControls وتُرسَّخ في التشغيل؛ وقبل تدقيق الحصول على الشهادة تتوقع جهات منح الشهادات في العادة تدقيقًا داخليًا كاملًا واحدًا على الأقل ومراجعة للإدارة. وتعتمد المدة على حجم المؤسسة ونطاقها ومستوى نضجها – من بضعة أشهر إلى أكثر من عام.

في فبراير 2024 نُشر ISO/IEC 27001:2022/Amd 1:2024. التعديل صغير لكنه ملزم: وفقًا للبند 4.1 يجب على المؤسسة أن تحدّد ما إذا كان تغيّر المناخ موضوعًا ذا صلة بنظام ISMS لديها؛ وفي البند 4.2 توضّح ملاحظة جديدة أن الأطراف المعنية قد تضع متطلبات مرتبطة بالمناخ. ولا يترتب على ذلك Controls جديدة ولا شهادة جديدة – غير أن المدققين يتوقعون تقييمًا موثّقًا ومعلّلًا. ولم يُعلَن حاليًا عن إصدار لاحق للمعيار؛ ويبقى ISO/IEC 27001:2022 الإصدار الحالي (الوضع: يوليو 2026).