+49 155 609 62044contact@vamisec.comحادث سيبراني؟24/7csirt@vamisec.com
احجزوا موعدًا

تنفيذ ISO 27001 وISO 27090 بشكل مشترك: أمن الذكاء الاصطناعي في نظام ISMS واحد

يصف ISO/IEC 27090 منذ أكتوبر 2026 تسعة أنواع من الهجمات الخاصة بالذكاء الاصطناعي مع سبل اكتشافها والتصدي لها، لكنه غير قابل لمنح الشهادة. أما ISO/IEC 27001 فيوفر إطار الإدارة القابل لمنح الشهادة. ويوضح هذا الدليل، مع متصفح المواءمة وفحص الفجوات وقائمة الأدلة، كيف تدمجون الاثنين في نظام واحد لإدارة أمن المعلومات (ISMS) عبر تسع مراحل: من تحليل الفجوات المشترك، مرورًا بخطة التدابير وخارطة الطريق والتنفيذ والترحيل والتدريب، وصولًا إلى التدقيق الداخلي ومراجعة الإدارة وتدقيق الشهادة الاختياري.

آخر تحديث: أكتوبر 2026 · Valeri Milke, Lead Auditor لمعياري ISO 27001 وISO 42001

بدء فحص الفجوات المشتركحدّدوا موعد محادثة أولية
ISO/IEC 27001:2022 × ISO/IEC 27090:2026 · نظام ISMS واحد
  1. 01الفجوات
  2. 02التدابير
  3. 03خارطة الطريق
  4. 04التنفيذ
  5. 05الترحيل
  6. 06التدريب
  7. 07التدقيق
  8. 08المراجعة
9مراحل حتى الشهادة1سجل المخاطر وSoA0شهادات وفق 27090
مدار مراحل النهج المشترك: ثماني مراحل، من تحليل الفجوات إلى مراجعة الإدارة، تدور حول نظام إدارة أمن المعلومات المشترك. وتمثل الحلقة الداخلية دورة التحسين في النظام: التخطيط والتنفيذ والفحص والتصرف، فيما تمثل الحلقة الخارجية تدقيق الشهادة الاختياري بوصفه المرحلة التاسعة. الرسم التوضيحي: VamiSec.
9أنواع اختراق خاصة بالذكاء الاصطناعي في ISO/IEC 27090، من Data Poisoning إلى «مخرجات تحتوي هجمات حقن»
93ضابطًا في الملحق A من ISO/IEC 27001:2022، وهي الأساس الذي يبني عليه ISO/IEC 27090
1نظام إدارة أمن المعلومات (ISMS) بسجل مخاطر واحد وبيان قابلية تطبيق واحد، بدلًا من نظامين
0شهادات «وفق ISO 27090»: الشهادة تُمنح لنظام إدارة أمن المعلومات وفق ISO/IEC 27001، ويمكن استكمالها اختياريًا بـ ISO/IEC 42001

منذ 14 أكتوبر 2026 صدر ISO/IEC 27090، وهو أول معيار من اللجنة الفرعية ISO/IEC JTC 1/SC 27 يُعنى تحديدًا بأمن أنظمة الذكاء الاصطناعي. وقد صُمِّم عن قصد بحيث لا يكون نظام إدارة مستقلًا: فهو يبني على الممارسة الراسخة لمعياري ISO/IEC 27001 و27002، ويضيف إليها تهديدات لا توجد إلا في الذكاء الاصطناعي، مثل بيانات التدريب المسمومة والمدخلات المتلاعب بها والنماذج المسروقة وPrompt Injection. وهذا خبر سار للمؤسسات التي لديها نظام إدارة أمن المعلومات (ISMS)، إذ لا تحتاج إلى نظام ثانٍ: فأنواع الاختراق التسعة تدخل بوصفها كتالوجًا للتهديدات في تقييم المخاطر القائم، والتدابير المضادة تدخل في بيان قابلية التطبيق (SoA) إما بوصفها الامتداد الخاص بالذكاء الاصطناعي للضوابط القائمة أو بوصفها ضوابط إضافية للذكاء الاصطناعي، ويتناولها بالفحص كلٌّ من التدقيق الداخلي ومراجعة الإدارة وتدقيق الشهادة. ومن لا يملك بعد نظامًا لإدارة أمن المعلومات يبني الاثنين دفعة واحدة. وتوضح هذه الصفحة كيف يتم ذلك عمليًا، مع خطوات العمل والنتائج والعثرات النموذجية والأدلة لكل مرحلة.

لماذا الآن: المعايير والمواعيد النهائية التي تجمع بين ISMS والذكاء الاصطناعي

من الإصدار الجديد لـ ISO/IEC 27001 إلى التزامات الذكاء الاصطناعي عالي المخاطر في قانون الذكاء الاصطناعي الأوروبي (AI Act): اختاروا محطة زمنية لعرض التفاصيل.

الأهم في تسع نقاط رئيسية

انقروا على أي بطاقة لقراءة النقطة الرئيسية بالتفصيل، أو افتحوا جميع البطاقات.

أين يرتبط ISO 27090 بنظام ISMS

بنود ISO/IEC 27001 وملحقها A: يبيّن كل تبويب ما يتغير بفعل محتوى الذكاء الاصطناعي في ISO/IEC 27090، وفي أي مرحلة تتم معالجته. وهذه المواءمة تفسير عمل من VamiSec.

ISO/IEC 27001 البند 4
  • استكمال القضايا الداخلية والخارجية بجوانب الذكاء الاصطناعي: استراتيجيتكم للذكاء الاصطناعي، والاعتماد على مزوّدي النماذج، ومشهد التهديدات، وقانون الذكاء الاصطناعي الأوروبي، والتقييس.
  • حصر الأطراف المعنية ذات المتطلبات المتعلقة بالذكاء الاصطناعي: العملاء الذين يسألون عن أمن الذكاء الاصطناعي، والجهات الرقابية، والأشخاص المتأثرون، ومورّدو النماذج والبيانات.
  • تحديد النطاق عن وعي: ما أنظمة الذكاء الاصطناعي وخطوط معالجة البيانات وواجهات النماذج المشمولة فيه، وأين تقع نقاط التماس مع المزوّدين؟
4.1 السياق4.2 الأطراف المعنية4.3 النطاق27090: مجال التطبيق
تفاعلي

ما نقطة البدء المناسبة لكم؟

تحدّد أربعة أسئلة على الأكثر وضعكم الحالي، من مشروع توسعة داخل نظام لإدارة أمن المعلومات (ISMS) حاصل على الشهادة، إلى بناء مشترك من الصفر بهدف الحصول على الشهادة. والتوصيات والمدد الزمنية قيم استرشادية من VamiSec.

مساركم
  1. ?

1: هل تستخدم مؤسستكم أنظمة ذكاء اصطناعي أو تخطط لاستخدامها، سواء كانت مطوّرة داخليًا، أو في بيئتكم السحابية الخاصة (Cloud Tenant)، أو عبر واجهة API أو خدمة SaaS، أو مدمجة في برمجيات جاهزة؟

1

هل تستخدم مؤسستكم أنظمة ذكاء اصطناعي أو تخطط لاستخدامها، سواء كانت مطوّرة داخليًا، أو في بيئتكم السحابية الخاصة (Cloud Tenant)، أو عبر واجهة API أو خدمة SaaS، أو مدمجة في برمجيات جاهزة؟

يستهدف ISO/IEC 27090 المؤسسات من جميع الأنواع والأحجام التي تطوّر أنظمة الذكاء الاصطناعي أو تستخدمها. ويدخل في ذلك أيضًا وظائف Copilot وروبوتات المحادثة في خدمة العملاء والذكاء الاصطناعي في التطبيقات المتخصصة.

تفاعلي

تسع مراحل من الفجوة إلى الشهادة

اختاروا مرحلة من الحلقة أو من القائمة: الهدف، والعثرات النموذجية، ومرتكزات المعايير، وخطوات العمل، والسؤال التوجيهي، والنتائج التي تحتاجونها للتدقيق ومنح الشهادة. وفي المركز إدارة المشروع، وفي الحلقة الخارجية إدارة الأدلة عبر جميع المراحل. والمدد الزمنية قيم استرشادية لبناء مشترك من الصفر.

المرحلة 1 · الأسابيع ⁦1–4⁩ · ISO/IEC 27001 البنود 4 إلى 10 والملحق A × ISO/IEC 27090

تحليل الفجوات المشترك

التحقق في جولة واحدة من مدى نضج نظام إدارة أمن المعلومات وفق ISO/IEC 27001، ومن مدى حماية أنظمة الذكاء الاصطناعي في ضوء محتوى ISO/IEC 27090، عبر جرد الذكاء الاصطناعي والمقابلات والعينات وتقييم مزدوج لمستوى النضج لكل متطلب.

الأساسISO/IEC 27001:2022 ⁦4.1–4.3⁩، 6.1.2، الملحق A 5.9؛ ISO/IEC 27090:2026 5.1، 5.2، البند 6؛ النهج: منهجية VamiSec

العثرات النموذجية

  • يبقى الذكاء الاصطناعي الخفي في البرمجيات الجاهزة وخدمات SaaS وأدوات المطورين دون اكتشاف (حرج)
  • تحليل يقتصر على الملحق A ولا يشمل البنود 4 إلى 10، فتبقى فجوات الإدارة غير مرئية (حرج)
  • غياب وحدات الأعمال وهندسة تعلّم الآلة عن المقابلات، فيُقيَّم الذكاء الاصطناعي بوصفه شأنًا تقنيًا بحتًا (متوسط)
  • فهم ISO/IEC 27090 خطأً على أنه قائمة تحقق، لا مصدرًا للتهديدات والتدابير (متوسط)
  • عدم إشراك حماية البيانات، رغم أن بيانات التدريب قد تكون بيانات شخصية (منخفض)

مرتكزات المعايير

ISO/IEC 27001 ⁦4.1–4.3⁩ISO/IEC 27001 6.1.2الملحق A 5.9ISO/IEC 27090 5.1, 5.2ISO/IEC 27090 البند 6ISO/IEC 27003 (معيار إرشادي)

خطوات العمل

  • اجتماع انطلاق مع الإدارة العليا: الأهداف، والنية في الحصول على الشهادة، والنطاق المبدئي
  • جرد الذكاء الاصطناعي عبر جميع قنوات الحصول عليه، مع المطابقة مع بيانات المشتريات والتراخيص ومستودعات الشيفرة وبيانات الشبكة
  • مراجعة الوثائق: السياسة، ومنهجية المخاطر، وسجل المخاطر، وبيان قابلية التطبيق، والعمليات
  • مقابلات مع فريق نظام إدارة أمن المعلومات وتشغيل تقنية المعلومات وهندسة تعلّم الآلة والتطوير والمشتريات وحماية البيانات ووحدات الأعمال
  • عينات فنية تشمل الوصول إلى النماذج والبيانات، والتسجيل، ومرشّحات المدخلات والمخرجات
  • تقييم مزدوج لمستوى النضج لكل متطلب: متطلب نظام إدارة أمن المعلومات وامتداده الخاص بالذكاء الاصطناعي
  • سجل الفجوات مع الأولوية والجهد المطلوب والمسؤولين؛ وملخص تنفيذي للإدارة
سؤال توجيهي للإدارة العليا وCISO

هل نعرف أنظمة الذكاء الاصطناعي التي نستخدمها، ومن المسؤول عنها، وأيّ أنواع الاختراق التسعة يخص كلًّا منها؟

النتائج والأدلة

  • جرد الذكاء الاصطناعي (النسخة الأولى) مع المالكين
  • سجل الفجوات ISO/IEC 27001 × ISO/IEC 27090
  • خريطة حرارية لمستوى النضج لكل بند ولكل نظام ذكاء اصطناعي
  • ملخص تنفيذي للإدارة مع الأولويات
  • توصية بشأن النطاق ومسار الحصول على الشهادة

تحليل الفجوات المشترك

الدليل

النهج بالتفصيل: من مبدأ الدمج إلى الشهادة

أحد عشر فصلًا: مبدأ الدمج، والمراحل التسع بخطوات العمل والجداول والأدلة، إضافة إلى الجهد والأخطاء الشائعة وعوامل النجاح.

01الأساسيات

مبدأ الدمج: لماذا يكفي نظام ISMS واحد

ليس ISO/IEC 27001 وISO/IEC 27090 معيارين متنافسين، بل طبقتان للمهمة نفسها: أحدهما ينظّم نظام الإدارة، والآخر المحتوى الخاص بالذكاء الاصطناعي.

ISO/IEC 27001 معيار متطلبات: يحدد ما يجب أن يحققه نظام إدارة أمن المعلومات، ولذلك فهو قابل لمنح الشهادة. أما ISO/IEC 27090 فمعيار إرشادي: يصف التهديدات التي تستهدف أنظمة الذكاء الاصطناعي تحديدًا، وكيفية التعرف عليها، وسبل التصدي لها. ولا يشترط نظام إدارة خاصًا به، بل يبني على الممارسة الراسخة لمعياري ISO/IEC 27001 و27002؛ إذ تشترط جملتان مصاغتان بصيغة إلزامية في قسم المبادئ العامة فيه تطبيقَ ضوابط أمن المعلومات بنهج قائم على المخاطر، ومراعاةَ الاختراقات الخاصة بالذكاء الاصطناعي على امتداد دورة الحياة بأكملها.

الخاصيةISO/IEC 27001:2022ISO/IEC 27090:2026في النموذج المشترك
نوع الوثيقةمعيار متطلبات لأنظمة الإدارةمعيار إرشادي يصف التهديدات والتدابير27001 يحمل النظام، و27090 يقدّم محتوى الذكاء الاصطناعي
قابلية منح الشهادةنعم، من خلال جهات منح الشهادات المعتمدةلا: لا شهادة ولا تدقيق «وفق 27090»شهادة وفق 27001 مع أنظمة الذكاء الاصطناعي ضمن النطاق
الجوهرالبنود 4 إلى 10 و93 ضابطًا في الملحق Aأنواع الاختراق التسعة، والموضوعات الشاملة، والملاحق A إلى Cسجل مخاطر واحد، وبيان قابلية تطبيق واحد
منطق المخاطرتقييم المخاطر ومعالجتها مع المقارنة بالملحق Aالتهديدات مع العواقب وسبل الاكتشاف والتصدي لكل نوعالأنواع التسعة بوصفها كتالوج التهديدات في تقييم المخاطر
النسخ اللغويةنسخة ألمانية: DIN EN ISO/IEC 27001:2024-01بالإنجليزية فقط، ولا توجد نسخة ألمانيةإدراج المصطلحات بلغتين في مسرد المصطلحات
مرجع التدقيقمعايير التدقيق لمنح الشهادة وللتدقيق الداخليليس مرجعًا للتدقيق؛ ويؤثر عبر بيان قابلية التطبيقيفحص المدققون تدابير الذكاء الاصطناعي بوصفها جزءًا من SoA

المقارنة: VamiSec، الحالة: 10/2026.

نقطتا ربط تحملان النموذج بأكمله

أولًا تقييم المخاطر: تُقيَّم أنواع الاختراق التسعة لكل نظام ذكاء اصطناعي ضمن النطاق، في السجل نفسه وبالمنهجية نفسها المعتمدة لسائر مخاطر أمن المعلومات. وثانيًا بيان قابلية التطبيق: يسمح ISO/IEC 27001 بتدابير من أي مصدر، ويشترط مقارنتها بالملحق A. وبذلك تتحول إرشادات التصدي في ISO/IEC 27090 إلى ضوابط في نظام إدارة أمن المعلومات، تُنفَّذ وتُراقَب وتُدقَّق وتُفحص ضمن تدقيق الشهادة.

  • لا نظام إدارة ثانيًا، ولا منهجية مخاطر ثانية، ولا نظام ثانيًا لضبط الوثائق
  • كل تدبير يرد مرة واحدة فقط، ويُواءَم مع عدة مراجع: الملحق A وISO/IEC 27090، وعند الحاجة ISO/IEC 42001 أو قانون الذكاء الاصطناعي الأوروبي
  • يتناول التدقيق الداخلي ومراجعة الإدارة وتدقيق الشهادة تدابير الذكاء الاصطناعي بالفحص أيضًا
  • من لا يملك بعد نظامًا لإدارة أمن المعلومات يبني النظام وملف الذكاء الاصطناعي في مشروع واحد
02المرحلة 1

تحليل الفجوات المشترك: نضج نظام ISMS وتغطية الذكاء الاصطناعي في جولة واحدة

يجيب تحليل الفجوات عن سؤالين في آن واحد: إلى أي مدى يستوفي نظام إدارة أمن المعلومات متطلبات ISO/IEC 27001؟ وإلى أي مدى أنظمة الذكاء الاصطناعي محمية في ضوء محتوى ISO/IEC 27090؟

التحليلات المنفصلة تعني مقابلات مكررة ونتائج متناقضة. لذلك نفحص كل متطلب من متطلبات البنود 4 إلى 10 وكل ضابط ذي صلة من الملحق A مرة واحدة، ونقيّم في الوقت ذاته ما إذا كان الامتداد الخاص بالذكاء الاصطناعي مشمولًا أيضًا. ويُضاف إلى ذلك النظر في المحتوى الخاص بالذكاء الاصطناعي في ISO/IEC 27090 الذي لا مقابل مباشرًا له في ISO/IEC 27001: أنواع الاختراق التسعة، والثقة الصفرية للنماذج والوكلاء، واختبارات الفريق الأحمر، والتأثيرات المتبادلة بين التدابير، وتراجع فعاليتها مع مرور الوقت.

  1. تحديد النطاق والسياق

    اجتماع انطلاق مع الإدارة العليا وفريق نظام إدارة أمن المعلومات: أهداف المبادرة، كالشهادة أو متطلبات العملاء أو قانون الذكاء الاصطناعي الأوروبي، والنطاق المبدئي، والأطراف المعنية ذات المتطلبات المتعلقة بالذكاء الاصطناعي.

  2. جرد الذكاء الاصطناعي

    حصر جميع أنظمة الذكاء الاصطناعي، سواء كانت مطوّرة داخليًا، أو مشغّلة في بيئتكم السحابية الخاصة، أو مستخدمة عبر API أو SaaS، أو مدمجة في برمجيات جاهزة؛ وتكشف المطابقة مع بيانات المشتريات ومخزون التراخيص ومستودعات الشيفرة وبيانات الشبكة الذكاءَ الاصطناعي الخفي.

  3. مراجعة الوثائق

    السياسة، ومنهجية المخاطر، وسجل المخاطر، وبيان قابلية التطبيق، وأوصاف العمليات، وتقييمات الموردين، وسياسات الذكاء الاصطناعي القائمة.

  4. المقابلات والعينات

    كبير مسؤولي أمن المعلومات وفريق نظام إدارة أمن المعلومات، وتشغيل تقنية المعلومات، وهندسة تعلّم الآلة وعلم البيانات، وتطوير البرمجيات، والمشتريات، وحماية البيانات، ووحدات الأعمال؛ مع عينات فنية لصلاحيات الوصول إلى النماذج والبيانات وللتسجيل ولمرشّحات المدخلات والمخرجات.

  5. التقييم بمستويات النضج

    يُقيَّم كل متطلب على أربعة مستويات، من «غير موجود» إلى «فعّال ومُتحقَّق منه»، تقييمًا مزدوجًا لمتطلب نظام إدارة أمن المعلومات ولامتداده الخاص بالذكاء الاصطناعي.

  6. سجل الفجوات والملخص التنفيذي للإدارة

    الفجوات مع الخطر والجهد والمسؤولين والأولوية؛ وخريطة حرارية لكل بند من بنود المعيار ولكل نظام ذكاء اصطناعي؛ وأهم عشر فجوات للإدارة العليا.

ما يقدّمه تحليل الفجوات

  • النسخة الأولى من جرد الذكاء الاصطناعي مع المالكين ودرجة الحرجية
  • سجل الفجوات ISO/IEC 27001 × ISO/IEC 27090 مع مستويات النضج
  • تقييم مدى صلة أنواع الاختراق التسعة بكل نظام ذكاء اصطناعي
  • خريطة حرارية وملخص تنفيذي للإدارة مع الأولويات وتقدير تقريبي للجهد
  • توصية بشأن النطاق ومسار الحصول على الشهادة
03المرحلة 2

خطة التدابير المشتركة: سجل واحد، وبيان قابلية تطبيق واحد

تتحول الفجوات إلى خطة تدابير واحدة: قائمة على المخاطر، بمالكين واضحين، ومواءَمة مع عدة مراجع بدلًا من إدارتها في عدة أماكن.

الأساس هو تقييم المخاطر: تُقيَّم أنواع الاختراق ذات الصلة لكل نظام ذكاء اصطناعي ضمن النطاق من حيث احتمال الحدوث والعواقب. ثم تختار معالجة المخاطر التدابير، من الملحق A أو من ISO/IEC 27090 أو مما تستنبطه المؤسسة بنفسها، وتقارنها بالملحق A كي لا يغيب أي ضابط لازم. وهكذا ينشأ بيان قابلية تطبيق موسَّع يذكر لكل تدبير مصدره ومبرره وحالة تنفيذه.

طريقان إلى بيان قابلية التطبيق

الامتداد الخاص بالذكاء الاصطناعي للضوابط القائمة

حيثما يغطي ضابط من الملحق A جوهر التهديد، يُوسَّع بامتداد خاص بالذكاء الاصطناعي: كتوسيع التسجيل ليشمل المدخلات والمخرجات وإصدار النموذج واستدعاءات الأدوات، وعلاقات الموردين لتشمل مزوّدي النماذج، وإدارة التغيير لتشمل تغيير النماذج وإعادة تدريبها.

ضوابط إضافية للذكاء الاصطناعي

حيثما لا يوجد مقابل، يُنشأ ضابط مستقل له معرّف ووصف ومصدر في ISO/IEC 27090 وصلة بالخطر الذي يعالجه ومالك؛ مثل تقييد معدل استخدام النموذج للوقاية من تسريبه، أو إعادة التحقق من التدابير بعد إعادة التدريب.

نوع الاختراقالتدبير المشترك (مثال)نقطة الربط في الملحق A (مواءمة VamiSec)
Data Poisoningدليل المنشأ وفحص السلامة لكل مجموعة بيانات، والحد من البياناتالجرد، وإخفاء البيانات، ودورة حياة التطوير الآمن
Evasionاختبارات المتانة بمدخلات متلاعب بها، وكشف المدخلات الخبيثةمراقبة الأنشطة، واختبار الأمن أثناء التطوير والقبول
Membership Inferenceتقليل البيانات إلى الحد الأدنى، وتقييد المخرجات، والتقييم بالتعاون مع فريق حماية البياناتحماية البيانات، وإخفاء البيانات، ومنع تسرّبها
Model Exfiltrationحدود عدد الطلبات وتقييد معدل الاستخدام، ومراقبة أنماط الاستعلام، والتسجيلالتسجيل، ومراقبة الأنشطة، والتحكم في الوصول
Model Inversionتقييد المخرجات، والحد من البيانات، واختبارات الاستدلالحماية البيانات، وإخفاء البيانات
Direct Model Poisoningبيئة تطوير محمية، والتوقيعات والمجاميع الاختبارية لملفات النماذجفصل البيئات، والوصول إلى الشيفرة المصدرية، ودورة حياة التطوير الآمن
Sensitive Model Outputمرشّحات المخرجات، والحد من البيانات في التدريب وفي السياقمنع تسرّب البيانات، والتصنيف
Prompt Injectionالفصل بين التعليمات والبيانات، ومرشّحات المدخلات، والموافقة على الإجراءات ذات العواقبمتطلبات أمن التطبيقات، والبرمجة الآمنة، والمراقبة
مخرجات تحتوي هجمات حقنمعاملة المخرجات على أنها غير موثوقة، وترميزها وفحصها، وقوائم السماح (Allowlists)متطلبات أمن التطبيقات، والبرمجة الآمنة

المواءمة مع الملحق A تفسير عمل من VamiSec؛ ولا يذكر ISO/IEC 27090 نفسه مرتكزات مباشرة سوى ضوابط ISO/IEC 27002 الخاصة بالتسجيل والمراقبة والبنية الآمنة للأنظمة.

ترتيب الأولويات بدلًا من تنفيذ كل شيء في آن واحد

  • التدابير مضمونة الفائدة أولًا: جرد الذكاء الاصطناعي، والمالكون، وحماية الوصول، والتسجيل، وقواعد استخدام الذكاء الاصطناعي التوليدي
  • ثم بحسب المخاطر: أكثر أنظمة الذكاء الاصطناعي حرجًا، وأنواع الاختراق ذات التقييم المرتفع
  • مراعاة المواعيد النهائية: عمليات تدقيق العملاء، وتدقيق المراقبة القادم، والتزامات الأنظمة عالية المخاطر في قانون الذكاء الاصطناعي الأوروبي اعتبارًا من ديسمبر 2027
  • الحصول على قبول رسمي للمخاطر المتبقية من مالكي المخاطر، لا من فريق المشروع
04المرحلة 3

مفهوم التنفيذ وخارطة الطريق

يجعل مفهوم التنفيذ خطة التدابير قابلة للإدارة: من يقرر، ومن ينفّذ، وبأي ترتيب، وبأي ميزانية، وكيف تتعرف الإدارة العليا على التقدم.

يشترط ISO/IEC 27001 إجراء التغييرات على نظام إدارة أمن المعلومات بطريقة مخططة، وتوسعة الذكاء الاصطناعي تغيير من هذا النوع؛ ومن الممارسات المجرَّبة تحديد الغرض والعواقب المحتملة والموارد والمسؤوليات مسبقًا. فهذا يحمي الشهادة القائمة، لأن النظام يبقى فعّالًا أثناء إعادة البناء، ويمنح البناء الجديد هيكلًا واضحًا. ويشمل المفهوم تنظيم المشروع وحزم العمل والاعتماديات والميزانية والتواصل والمؤشرات.

الدورالمهمة في المشروع المشترك
لجنة التوجيه (الإدارة العليا)التفويض، والميزانية، والرغبة في مخاطر الذكاء الاصطناعي، والقرار بشأن النطاق والشهادة
مسؤولو ISMS / CISOالإدارة الشاملة، والمنهجية، وبيان قابلية التطبيق، والتحضير للتدقيق
قائد أمن الذكاء الاصطناعيالقيادة المتخصصة لتدابير الذكاء الاصطناعي، وحلقة الوصل مع هندسة تعلّم الآلة والتطوير
مالك كل نظام ذكاء اصطناعيتقييم المخاطر، والتنفيذ في نطاق مسؤوليته، وقبول المخاطر المتبقية
تشغيل تقنية المعلومات وSOCالتسجيل والمراقبة ومعالجة الحوادث لأنظمة الذكاء الاصطناعي
المشتريات وإدارة الموردينمتطلبات الذكاء الاصطناعي المفروضة على المزوّدين، والعقود، والتقييمات
حماية البيانات والشؤون القانونيةمخاطر حماية البيانات الناشئة عن بيانات التدريب والمخرجات، والالتزامات التنظيمية

خارطة طريق على موجات

  1. الموجة 0 · الأسابيع ⁦1–4⁩التفويض والإجراءات الفورية

    تأكيد النطاق، واستكمال جرد الذكاء الاصطناعي، وتسمية المالكين، ونشر قواعد استخدام الذكاء الاصطناعي التوليدي، وتنقية صلاحيات الوصول إلى النماذج والبيانات، وتفعيل التسجيل في أكثر الأنظمة حرجًا.

  2. الموجة 1 · الأشهر ⁦2–4⁩الحوكمة والمنهجية

    إقرار السياسة وسياسة أمن الذكاء الاصطناعي، وإطلاق خطة معالجة المخاطر من المرحلة 2، وتحديد متطلبات الموردين.

  3. الموجة 2 · الأشهر ⁦3–8⁩التدابير التقنية

    الثقة الصفرية للبيانات والنماذج والوكلاء، وضوابط المدخلات والمخرجات، وحماية بيئة التطوير، والمراقبة وتقييد معدل الاستخدام، واختبارات الفريق الأحمر لأكثر الأنظمة حرجًا.

  4. الموجة 3 · الأشهر ⁦6–10⁩الترحيل والتدريب

    ترحيل العمليات والبيانات، والتدريب الموجّه لكل فئة مستهدفة، وقياس المؤشرات، وجمع الأدلة.

  5. الموجة 4 · الأشهر ⁦9–12⁩الفحص واتخاذ القرار

    التدقيق الداخلي، والإجراءات التصحيحية، ومراجعة الإدارة، والقرار بشأن تدقيق الشهادة.

المدد الزمنية قيم استرشادية من المشاريع لبناء مشترك من الصفر بعدد محدود من أنظمة الذكاء الاصطناعي. ومع نظام قائم لإدارة أمن المعلومات حاصل على الشهادة، تسقط أجزاء كبيرة من الموجتين 1 و4، وكثيرًا ما يمكن حينها إدخال توسعة الذكاء الاصطناعي قبل تدقيق المراقبة القادم.

مؤشرات للتوجيه والإدارة

  • نسبة أنظمة الذكاء الاصطناعي التي لها مالك وتقييم للمخاطر وقيد في بيان قابلية التطبيق
  • نسبة أنظمة الذكاء الاصطناعي الحرجة المزوّدة بتسجيل الاستدلال ومراقبته
  • النتائج المفتوحة من اختبارات الفريق الأحمر والتدقيق بحسب عمرها وشدتها
  • نسبة إتمام التدريب لكل فئة مستهدفة
  • التزام حزم العمل بالمواعيد المحددة في خارطة الطريق
05المرحلة 4

تنفيذ التدابير المشتركة

يجري التنفيذ تنظيميًا وتقنيًا، ويترك كل تدبير دليلًا يحتاجه التدقيق الداخلي ومنح الشهادة لاحقًا.

تنظيميًا، يبدأ التنفيذ بقواعد تخص الجميع: السياسة المستكملة بجوانب الذكاء الاصطناعي، وقواعد استخدام الذكاء الاصطناعي التوليدي، وتصنيف بيانات التدريب والموجّهات والمخرجات، وإجراء لإدارة التغيير يعامل تغيير النماذج وإعادة تدريبها وتعديل موجّهات النظام (System Prompts) أو مصادر الاسترجاع معاملةَ تغييرات البرمجيات. وتقنيًا، يتبع التنفيذ أنواع الاختراق التي حصلت على تقييم مرتفع في تقييم المخاطر.

الثقة الصفرية خيطًا ناظمًا

يطبّق ISO/IEC 27090 على الذكاء الاصطناعي مبادئ الثقة الصفرية التي يصفها ISO/IEC 27002 للبنى الآمنة للأنظمة: إذ يخضع كل وصول إلى بيانات التدريب والنماذج ومصادر الاسترجاع للمصادقة والتفويض على حدة، وتُرسم لتطبيقات الذكاء الاصطناعي حدود واضحة، ويُتحقق من كل إجراء ينفذه وكلاء الذكاء الاصطناعي على حدة، وتُمنح الصلاحيات للمهمة وحدها ولمدة محدودة، ويُراقب سلوك الأنظمة باستمرار. وتسري هذه المبادئ في جميع إرشادات التصدي في المعيار.

البيانات والنماذج

أدلة المنشأ وفحوص السلامة لمجموعات البيانات، والحد من البيانات، وبيئات تطوير محمية ومنفصلة، والتوقيعات والمجاميع الاختبارية لملفات النماذج.

التطبيق ووقت التشغيل

الفصل بين التعليمات والبيانات، ومرشّحات المدخلات والمخرجات، ومعاملة المخرجات على أنها غير موثوقة، والموافقة على الإجراءات ذات العواقب، وتقييد معدل الاستخدام في مواجهة الاستعلامات الجماعية.

الاكتشاف والاستجابة

تسجيل المدخلات والمخرجات وإصدار النموذج واستدعاءات الأدوات؛ والمراقبة لرصد إساءة الاستخدام وأنماط التسريب والانجراف (Drift)؛ وخطط استجابة لحوادث الذكاء الاصطناعي ضمن إدارة الحوادث القائمة.

الاختبار والمحافظة

اختبارات الفريق الأحمر قبل الإطلاق وبعد التغييرات الجوهرية، واختبار جميع التدابير مجتمعةً بسبب التأثيرات المتبادلة المحتملة، وإعادة التحقق بعد إعادة التدريب، لأن فعالية التدابير قد تتراجع مع مرور الوقت.

أدلة تجمعونها الآن

  • سياسات وقواعد استخدام معتمدة مع رقم الإصدار
  • الإعدادات ومفاهيم الصلاحيات للنماذج والبيانات والوكلاء
  • أدلة التسجيل والمراقبة مع تحليلات نموذجية
  • تقارير اختبارات الفريق الأحمر واختبارات القبول مع معالجة النتائج
  • تذاكر التغيير لتغيير النماذج وإعادة تدريبها مع إعادة التحقق
06المرحلة 5

ترحيل العمليات والبيانات

لا تُنشئ توسعة الذكاء الاصطناعي عالمًا موازيًا: إذ تُوسَّع عمليات نظام إدارة أمن المعلومات القائمة، وتُنقل البيانات الحالية إلى نموذج بيانات مشترك، مع سجل أدلة متصل بلا ثغرات.

للترحيل مستويان. فعلى مستوى العمليات، تتولى عمليات نظام إدارة أمن المعلومات القائمة حالات الذكاء الاصطناعي، بدلًا من أن ينشأ إلى جانب النظام عالم مستقل من عمليات الذكاء الاصطناعي. وعلى مستوى البيانات، تُنقل السجلات والتدابير والأدلة من الجداول وصفحات الويكي والأدوات القديمة إلى نموذج بيانات موحّد، يوجد فيه كل تدبير مرة واحدة فقط ويحيل إلى عدة أطر.

عملية ISMS القائمةتوسعة للذكاء الاصطناعي
إدارة الأصول والجردأنظمة الذكاء الاصطناعي والنماذج ومجموعات البيانات والموجّهات وصلاحيات الأدوات؛ وقائمة مكونات الذكاء الاصطناعي (AI-BOM)
إدارة المخاطركتالوج التهديدات بأنواع الاختراق التسعة، وإعادة التقييم عند تغيّر النماذج والبيانات
إدارة التغييرتغيير النماذج، وإعادة التدريب، وتعديل موجّهات النظام ومصادر الاسترجاع، مع إعادة التحقق
إدارة الموردينمزوّدو النماذج ومصادر مجموعات البيانات ومكتبات تعلّم الآلة وأدوات MLOps، مع استبيان خاص بالذكاء الاصطناعي
إدارة الحوادثمؤشرات الكشف لكل نوع من التهديدات، وخطط الاستجابة الخاصة بالذكاء الاصطناعي، وحفظ الأدلة بما يشمل الموجّهات وإصدار النموذج
إدارة الثغراتالنشرات الأمنية لأطر تعلّم الآلة وخوادم النماذج وعملاء الذكاء الاصطناعي، وتثبيت الإصدارات
التسجيل والمراقبةالمدخلات والمخرجات، واستدعاءات الأدوات، وأنماط الاستعلام، والانجراف (Drift)
ضبط المعلومات الموثقةسياسة الذكاء الاصطناعي، وبطاقات النماذج، وأدلة المنشأ، وتقارير الفريق الأحمر

ترحيل البيانات في خمس خطوات

  1. الحصر

    ما السجلات وقوائم التدابير والأدلة ونتائج التدقيق الموجودة، وأين توجد، وما مستوى جودتها؟

  2. نموذج البيانات المستهدف

    نموذج واحد للأصول والمخاطر والضوابط والأدلة والموردين، مع المواءمة مع ISO/IEC 27001 وISO/IEC 27090، وعند الحاجة مع ISO/IEC 42001 أو قانون الذكاء الاصطناعي الأوروبي أو NIS2 أو DORA.

  3. التنقية

    دمج السجلات المكررة، واستكمال المالكين ومدد الصلاحية، وحسم أمر التدابير المهجورة؛ فليس كل موروث قديم يستحق الترحيل.

  4. التشغيل التجريبي والقبول

    ترحيل تجريبي بالعينات، وقبول من المسؤولين المختصين، ومطابقة أعداد السجلات.

  5. التحويل والأرشفة

    موعد تحويل محدد، وتشغيل متوازٍ قصير، وأرشفة البيانات القديمة مع مراعاة التزامات الحفظ؛ إذ يجب الحفاظ على سجل الأدلة للتدقيق القادم.

07المرحلة 6

تدريب موجّه لكل فئة مستهدفة

يشترط ISO/IEC 27001 توفر الكفاءة في الأدوار ذات الصلة بالأمن، والوعي لدى جميع الموظفين. وفي الذكاء الاصطناعي يعني ذلك أن تتعلم كل فئة مستهدفة أي التهديدات عليها منعها أو اكتشافها أو الإبلاغ عنها.

يُستمد المحتوى من أنواع الاختراق ومن التدابير المحددة في المرحلة 2، ولذلك يختلف اختلافًا واضحًا من دور إلى آخر. فالتدريب الموحّد للجميع لا يفي بحاجة الإدارة العليا، التي عليها تقييم المخاطر واعتماد الموارد، ولا بحاجة فرق هندسة تعلّم الآلة، التي عليها منع هجمات محددة على البيانات والنماذج.

الفئة المستهدفةمحاور التركيزالصيغة (مقترحة)
الإدارة العليا ومجلس الإدارةالمسؤولية، والرغبة في مخاطر الذكاء الاصطناعي، والتهديدات الرئيسية، والإطار التنظيمي، والقرارات في مراجعة الإدارةإحاطة، من 90 إلى 120 دقيقة، سنويًا
CISO ومسؤول أمن المعلومات وفريق ISMSISO/IEC 27090 بالتفصيل، ومنهجية المخاطر، وتوسيع بيان قابلية التطبيق، والتحضير للتدقيقورشة عمل، يوم إلى يومين
هندسة تعلّم الآلة وعلم البياناتData Poisoning وDirect Model Poisoning، ومنشأ البيانات، وخط معالجة آمن لتعلّم الآلة، وحماية بيئة التطوير، واختبارات الفريق الأحمرتدريب مع تمارين، يوم إلى يومين
تطوير البرمجياتPrompt Injection، ومعالجة المخرجات، والبنى الآمنة لأنظمة RAG والوكلاء، والاختباراتتدريب مع تمارين، يوم واحد
تشغيل تقنية المعلومات وSOCتسجيل الاستدلال، واكتشاف إساءة الاستخدام والتسريب، وتقييد معدل الاستخدام، وخطط الاستجابة الخاصة بالذكاء الاصطناعيتدريب، من نصف يوم إلى يوم
المشتريات وإدارة الموردينأسئلة لمزوّدي النماذج، وبنود العقود، وقائمة مكونات الذكاء الاصطناعي، وتقييم مصادر مجموعات البياناتورشة عمل، نصف يوم
حماية البيانات والشؤون القانونيةMembership Inference وModel Inversion، والمخرجات الحساسة، ونقاط التماس مع اللائحة العامة لحماية البيانات (GDPR) وقانون الذكاء الاصطناعي الأوروبيورشة عمل، نصف يوم
المدققون الداخليونتدقيق تدابير الذكاء الاصطناعي، والعينات، وتقييم الأدلة، وأسئلة الفحص لكل نوع من أنواع الاختراقتدريب، يوم واحد
جميع الموظفينالاستخدام الآمن للذكاء الاصطناعي التوليدي، وعدم إدخال بيانات سرية في خدمات غير معتمدة، والإبلاغ عن الحالات المريبةتعلّم إلكتروني، من 30 إلى 45 دقيقة، سنويًا وعند وجود داعٍ

الصيغ والمدد توصيات من VamiSec؛ وتتحدد بحسب عدد أنظمة الذكاء الاصطناعي ودرجة حرجيتها.

إثبات الفعالية

  • ملف الكفاءة لكل دور بالوضع المستهدف والوضع الحالي
  • أدلة الحضور واختبارات معرفة قصيرة
  • أدلة عملية مثل اجتياز سيناريوهات التمرين
  • مؤشرات في مراجعة الإدارة: نسبة إتمام التدريب لكل فئة مستهدفة، والبلاغات عن الحالات المريبة
08المرحلة 7

التدقيق الداخلي: فحص مستقل لتدابير الذكاء الاصطناعي

يُبيّن التدقيق الداخلي للإدارة العليا، ولاحقًا لجهة منح الشهادات، ما إذا كانت تدابير الذكاء الاصطناعي ليست موصوفة فحسب، بل منفّذة وفعّالة أيضًا.

يشترط ISO/IEC 27001 إجراء عمليات تدقيق داخلي على فترات مخططة، وبرنامج تدقيق يحدد التواتر والأساليب والمسؤوليات وقنوات الإبلاغ، ومدققين موضوعيين ومحايدين. والمعياران الإرشاديان لذلك هما ISO 19011 لتدقيق أنظمة الإدارة وISO/IEC 27007 لتدقيق أنظمة إدارة أمن المعلومات. ومرجع التدقيق هو ISO/IEC 27001 والمتطلبات الداخلية للمؤسسة، أي بيان قابلية التطبيق فيما يخص تدابير الذكاء الاصطناعي. أما ISO/IEC 27090 فليس مرجعًا للتدقيق؛ وإنما يؤثر عبر التدابير التي اعتمدتموها منه.

أسئلة فحص نموذجية تخص الذكاء الاصطناعي

  • هل جميع أنظمة الذكاء الاصطناعي العاملة في الإنتاج مدرجة في الجرد، وهل يتطابق الجرد مع بيانات المشتريات والشبكة؟
  • هل يوجد لكل نظام ذكاء اصطناعي ضمن النطاق تقييم مخاطر محدَّث يشمل أنواع الاختراق ذات الصلة؟
  • هل تتوافق صلاحيات الوصول إلى النماذج وبيانات التدريب ومصادر الاسترجاع مع مفهوم الصلاحيات؟ عينة من الصلاحيات.
  • هل تُسجَّل المدخلات والمخرجات وإصدار النموذج واستدعاءات الأدوات وتُحلَّل؟ عينة من السجلات.
  • هل جرى الاختبار وإعادة التحقق قبل آخر تغيير للنموذج؟ عينة من تذاكر التغيير.
  • هل عولجت نتائج اختبارات الفريق الأحمر وتُوبعت؟
  • هل قُيِّم مزوّدو النماذج وأُلزموا تعاقديًا؟
العنصرالصيغة في النموذج المشترك
برنامج التدقيققائم على المخاطر: أكثر أنظمة الذكاء الاصطناعي حرجًا وأنواع الاختراق ذات التقييم المرتفع أولًا؛ وجميع البنود والضوابط ذات الصلة خلال دورة الشهادة
المدققونمستقلون عن التنفيذ؛ مع خبرة متخصصة في الذكاء الاصطناعي داخل الفريق أو عبر الاستعانة بخبراء تقنيين
الأساليبالمقابلات، وفحص الوثائق، والعينات، والاطلاع الميداني على خط معالجة تعلّم الآلة، واختبارات الفعالية مثل حالة اختبار موجّهة لهجوم Prompt Injection
نتائج التدقيقحالات عدم المطابقة، والملاحظات، وفرص التحسين، مع تحليل الأسباب الجذرية والإجراءات التصحيحية
التوقيتقبل تدقيق الشهادة، دورة كاملة واحدة على الأقل تغطي النطاق بأكمله
09المرحلة 8

مراجعة الإدارة: الإدارة العليا تقرر بشأن مخاطر الذكاء الاصطناعي

في مراجعة الإدارة تقيّم الإدارة العليا الحصيلة وتتخذ القرارات التي تطوّر نظام إدارة أمن المعلومات. وفي النموذج المشترك تُضاف مدخلات وقرارات خاصة بالذكاء الاصطناعي.

يحدد ISO/IEC 27001 ما يجب على الإدارة العليا تقييمه على فترات مخططة: حالة الإجراءات المتخذة في مراجعات الإدارة السابقة، والتغيرات في القضايا الداخلية والخارجية وفي احتياجات الأطراف المعنية، والتغذية الراجعة عن أداء أمن المعلومات بما فيها حالات عدم المطابقة ونتائج القياس والتدقيق ومدى تحقيق الأهداف، والتغذية الراجعة من الأطراف المعنية، ونتائج تقييم المخاطر وحالة معالجة المخاطر، وفرص التحسين. والنتيجة قرارات موثقة.

المدخلات وفق ISO/IEC 27001امتداد الذكاء الاصطناعي في النموذج المشترك
التغيرات في القضايا والأطراف المعنيةأنظمة ذكاء اصطناعي جديدة وما اكتُشف من ذكاء اصطناعي خفي، ومتطلبات العملاء، ومواعيد قانون الذكاء الاصطناعي الأوروبي، وتطور المعايير مثل معيار الخصوصية ISO/IEC 27091
حالات عدم المطابقة والإجراءات التصحيحيةنتائج مفتوحة تخص الذكاء الاصطناعي من التدقيق والتشغيل
نتائج المراقبة والقياسالمؤشرات: تغطية الجرد، والتسجيل، والوقت حتى الاكتشاف، والانجراف (Drift)
نتائج التدقيقنتائج التدقيق الداخلي بشأن تدابير الذكاء الاصطناعي، ونتائج الفريق الأحمر
نتائج تقييم المخاطروضع مخاطر الذكاء الاصطناعي لكل نظام، والتهديدات الجديدة المستخلصة من الحوادث ومعلومات التهديدات
فرص التحسينالأدلة المؤتمتة، ودمج نظام لإدارة الذكاء الاصطناعي وفق ISO/IEC 42001

قرارات ينبغي أن ترد في المحضر

  • الرغبة في مخاطر الذكاء الاصطناعي، وقبول المخاطر المتبقية لأكثر الأنظمة حرجًا
  • الموارد للموجات التالية من خارطة الطريق
  • تعديلات النطاق عند إضافة أنظمة ذكاء اصطناعي جديدة
  • المضي أو عدم المضي في تدقيق الشهادة
  • الأهداف والمؤشرات للدورة التالية
10المرحلة 9 · اختياري

تدقيق الشهادة: ISO 27001 مع الذكاء الاصطناعي ضمن النطاق

من يحتاج إلى إثبات خارجي يُخضع نظام إدارة أمن المعلومات المشترك لتدقيق جهة معتمدة لمنح الشهادات. والشهادة تُمنح وفق ISO/IEC 27001، أما تدابير الذكاء الاصطناعي فتُفحص ضمن التدقيق بوصفها جزءًا من بيان قابلية التطبيق.

  1. اختيار جهة منح الشهادات

    اختيار جهة معتمدة، وفي ألمانيا تكون معتمدة من DAkkS؛ والاتفاق على النطاق والمواقع ومدة التدقيق. وينظّم ISO/IEC 17021-1 وISO/IEC 27006-1 المتطلبات المفروضة على هذه الجهات.

  2. تدقيق المرحلة 1

    فحص التوثيق والجاهزية للشهادة: النطاق مع أنظمة الذكاء الاصطناعي، وتقييم المخاطر، وبيان قابلية التطبيق، وتخطيط التدقيق الداخلي ومراجعة الإدارة وتنفيذهما.

  3. تدقيق المرحلة 2

    فحص الفعالية في الموقع: مقابلات وجولات ميدانية وعينات، وفي أنظمة الذكاء الاصطناعي مثلًا مفاهيم الصلاحيات والسجلات وتقارير الاختبار وأدلة التغيير.

  4. الإجراءات التصحيحية والقرار

    تُعالَج حالات عدم المطابقة ضمن المهل التي تحددها جهة منح الشهادات؛ ثم تتخذ الجهة قرارها بشأن منح الشهادة.

  5. الشهادة ودورتها

    تسري الشهادة ثلاث سنوات؛ وتُجرى في السنوات التالية عمليات تدقيق المراقبة، ثم إعادة منح الشهادة. وتُضم أنظمة الذكاء الاصطناعي الجديدة لاحقًا عبر النطاق وبيان قابلية التطبيق.

ما تذكره الشهادة وما لا تذكره

تشهد الشهادة بنظام لإدارة أمن المعلومات وفق ISO/IEC 27001 لنطاق موصوف. فإذا شمل هذا النطاق أنظمة الذكاء الاصطناعي، كان أمنها جزءًا من نظام الإدارة الحاصل على الشهادة. ولا تحمل الشهادة عبارة «حاصل على شهادة وفق ISO/IEC 27090»، ولا يجوز أن يُفهم ذلك من التواصل أيضًا. والصياغة السليمة: «نظام إدارة أمن المعلومات حاصل على شهادة وفق ISO/IEC 27001؛ وتسترشد تدابير أنظمة الذكاء الاصطناعي لدينا بـ ISO/IEC 27090».

اختياريًا: تدقيق مشترك مع ISO/IEC 42001

من يريد إضافةً إلى ذلك إثبات إدارة الذكاء الاصطناعي ككل، من تقييم الأثر والمسؤوليات إلى دورة الحياة وجودة البيانات، يمكنه دمج نظام لإدارة الذكاء الاصطناعي وفق ISO/IEC 42001. ويتبع المعياران البنية الأساسية نفسها، وعمليات التدقيق المشتركة ممكنة. ويُراعى أنه في 22 أكتوبر 2026 لم تكن أي جهة معتمدة من DAkkS لمنح الشهادات وفق ISO/IEC 42001 مدرجة في ألمانيا؛ وينبغي فحص العروض المستندة إلى اعتماد من هيئات اعتماد أخرى كلٍّ على حدة.

11من الممارسة

الجهد والأخطاء الشائعة وعوامل النجاح

ما الذي يُنجح المشاريع المشتركة، وما الذي يُفشلها في الممارسة في أغلب الأحيان.

نقطة الانطلاقالمسار النموذجيالمدة الاسترشادية
ISMS حاصل على شهادة ISO/IEC 27001، والذكاء الاصطناعي مستخدَم فقطتوسعة الذكاء الاصطناعي بوصفها تغييرًا مخططًا، تُعرض في تدقيق المراقبة القادمنحو 3 إلى 6 أشهر
ISMS حاصل على الشهادة، مع نماذج خاصة أو ضبط دقيقتوسعة كاملة العمق للبيانات والنماذج والتطويرنحو 6 إلى 9 أشهر
لا يوجد ISMS، والذكاء الاصطناعي مستخدَمبناء مشترك لنظام ISMS وملف الذكاء الاصطناعينحو 9 إلى 12 شهرًا حتى الجاهزية للشهادة
ذكاء اصطناعي عالي المخاطر أو وظيفة حرجةنظام ISMS بملف للذكاء الاصطناعي، إضافة إلى ISO/IEC 42001 والمقارنة مع قانون الذكاء الاصطناعي الأوروبيبحسب المشروع؛ يُنصح بالبدء مبكرًا

قيم استرشادية من المشاريع؛ والعوامل الحاسمة هي عدد أنظمة الذكاء الاصطناعي ونوعها، ونضج نقطة الانطلاق، والموارد المتاحة.

سبعة أخطاء نراها كثيرًا

  • سجل ثانٍ أو نظام إدارة مستقل للذكاء الاصطناعي إلى جانب نظام إدارة أمن المعلومات، مما يعني صيانة مزدوجة وتقييمات متناقضة
  • التعامل مع ISO/IEC 27090 كقائمة تحقق تُستوفى بنودها، بدلًا من ترتيب الأولويات عبر تقييم المخاطر
  • إغفال الذكاء الاصطناعي الخفي في البرمجيات الجاهزة وخدمات SaaS
  • الاعتماد في الحماية على قواعد الموجّهات وحدها بدلًا من الصلاحيات والموافقات والعزل
  • غياب تسجيل عمليات الاستدلال، فتمرّ الحوادث دون أن تُلاحَظ، وتفتقر عمليات التدقيق إلى الأدلة
  • الترحيل قبيل التدقيق مباشرة، فيضيع سجل الأدلة
  • الترويج بعبارة «حاصل على شهادة ISO 27090»، وهي عبارة مضللة وعرضة للطعن بموجب قانون المنافسة

عوامل النجاح

  • تفويض ظاهر من الإدارة العليا مع تحديد الرغبة في مخاطر الذكاء الاصطناعي
  • مالك لكل نظام ذكاء اصطناعي في وحدة الأعمال، لا في تقنية المعلومات وحدها
  • نموذج بيانات واحد، مواءَم مع عدة مراجع
  • تدابير مضمونة الفائدة (No-Regret) مبكرة لتحقيق أثر سريع
  • اختبارات الفريق الأحمر بوصفها دليلًا على الفعالية
  • تدريب حسب الفئة المستهدفة بدلًا من دورة موحّدة للجميع
تقييم ذاتي

فحص الفجوات المشترك: نضج نظام ISMS وتغطية الذكاء الاصطناعي في جولة واحدة

المرحلة 1 بصورة مصغّرة: ما يصل إلى 33 سؤالًا في ثمانية مجالات عمل، لكلٍّ منها إحالة مرجعية في ISO/IEC 27001 أو ملحقه A أو ISO/IEC 27090. وتتحكم أربعة بيانات عن ملفكم في الأسئلة وفي المستوى المستهدف. والنتيجة، أي مؤشر الجاهزية والمخطط الراداري وأكبر الفجوات والخطة الزمنية وقائمة الأدلة، لا تغني عن تحليل للفجوات بإشراف مختصين، لكنها تبيّن لكم في نحو 15 دقيقة أين تقفون. ومستويات النضج والمستويات المستهدفة والمواءمات تصنيفٌ وضعته VamiSec.

0 / 33 أسئلة تمت الإجابة عنها

00 / 08ملفكم

تتحكم أربعة بيانات في الفحص. فسعيكم إلى الحصول على شهادة أو تشغيلكم ذكاءً اصطناعيًا عالي المخاطر يحدد المستوى المستهدف. أما مصدر النماذج والتطوير الذاتي والذكاء الاصطناعي التوليدي فتُظهر الأسئلة المناسبة أو تخفيها، في حين تنطبق الأسئلة الأساسية عن نظام إدارة أمن المعلومات والمخاطر والجرد وسلسلة التوريد والتدريب والتدقيق على الجميع.

  1. هل تسعون إلى الحصول على شهادة ISO/IEC 27001 أو تحملونها بالفعل، أو تشغّلون ذكاءً اصطناعيًا عالي المخاطر أو ذكاءً اصطناعيًا في وظيفة حرجة؟

    تتطلب الشهادة تدابير فعّالة بشكل قابل للإثبات؛ وينطبق ذلك من حيث المبدأ أيضًا على الذكاء الاصطناعي عالي المخاطر وفق قانون الذكاء الاصطناعي الأوروبي، وعلى الذكاء الاصطناعي في الوظائف الخاضعة لمتطلبات خاصة بموجب NIS2 أو DORA أو CRA. والإجابتان «نعم» و«غير واضح بعد» تضبطان المستوى المستهدف على «فعّال ومُتحقَّق منه»؛ أما «لا» فتضبطه على «محدَّد وموثَّق» وتُخفي السؤال المتعلق بالجاهزية للشهادة.

  2. كيف تحصلون على نماذج الذكاء الاصطناعي لديكم؟ (اختيار متعدد)

    نموذج خاص (مدرَّب أو مستضاف ذاتيًا)، أو نموذج أساسي (Foundation Model) في بيئتكم السحابية الخاصة (Fine-Tuning أو RAG، مع بقاء البيانات داخل هذه البيئة)، أو واجهة API خارجية لنموذج أو مساعد SaaS؛ والجمع بينها شائع. ويظهر السؤال المتعلق بتقييد معدل الاستخدام فقط عند استخدام نموذج خاص أو بيئة خاصة، والسؤال المتعلق بعقود المزوّدين عند استخدام بيئة خاصة أو واجهة API، والسؤال المتعلق بتسرّب البيانات فقط عند استخدام واجهة API خارجية أو SaaS.

  3. هل تدرّبون النماذج أو تضبطونها ضبطًا دقيقًا أو توسّعونها بأنفسكم، أو تبنون مسارات RAG خاصة بكم؟

    احسبوا أيضًا وحدات الأعمال التي تكيّف النماذج أو تبني قواعد المعرفة. والإجابة «لا» تُخفي أربعة أسئلة عن منشأ البيانات وبيئة التطوير وخط معالجة تعلّم الآلة وسرية بيانات التدريب.

  4. هل تستخدمون الذكاء الاصطناعي التوليدي أو وكلاء الذكاء الاصطناعي، مثل مساعدي LLM أو روبوتات المحادثة أو أدوات البرمجة أو الأتمتة التي تصل إلى الأدوات؟

    يعالج الذكاء الاصطناعي التوليدي محتوى خارجيًا بوصفه مدخلات، ويولّد مخرجات تعالجها أنظمة لاحقة، وهنا يبرز خطرا Prompt Injection و«مخرجات تحتوي هجمات حقن». والإجابة «لا» تُخفي سؤالين عن ضوابط المدخلات والمخرجات وعن إجراءات الوكلاء.

المستوى المستهدف3 — فعّال ومُتحقَّق منه

من يسعى إلى شهادة ISO/IEC 27001 أو يحملها، عليه أن يثبت فعالية تدابيره؛ وينطبق الأمر نفسه من حيث المبدأ على الذكاء الاصطناعي عالي المخاطر والذكاء الاصطناعي في الوظائف الحرجة. لذلك نعتمد المستوى 3 («فعّال ومُتحقَّق منه»). ولا يحدد ISO/IEC 27090 نفسه أي مستوى مستهدف؛ والمستويات تصنيف من VamiSec.

ورقة بيضاء مجانية

ISO/IEC 27090 لكبار مسؤولي أمن المعلومات: أساس العمل للمشروع المشترك

تقدّم ورقتنا البيضاء حول ISO/IEC 27090 اللبنات التي تحتاجونها للنهج المشترك: بطاقات تعريف التهديدات لتقييم المخاطر، وإرشادات بيان قابلية التطبيق (SoA) ومصفوفة المواءمة لخطة التدابير، وأسئلة الفحص ومصفوفة الأدلة للتدقيق الداخلي ومراجعة الإدارة، مع الإحالات المرجعية وفصل واضح بين ما يرد في المعيار وما تقتضيه التشريعات وما توصي به VamiSec.

غلاف الورقة البيضاء من VamiSec بعنوان ISO/IEC 27090 لكبار مسؤولي أمن المعلومات
54 صفحةPDF، مجانًاباللغة الألمانيةالحالة: 10/2026
  • ملخص تنفيذي ونقاط رئيسية لمذكرة مجلس الإدارة: معيار إرشادي لا شهادة، وحالة المعيار وبنيته، والوضع في منطقة DACH (ألمانيا والنمسا وسويسرا)
  • تسع بطاقات تعريف للتهديدات مع سبل الاكتشاف والتصدي، وتصنيف حسب دورة الحياة، وجدول بحالات واقعية من 2023 إلى 2026
  • مصفوفة مواءمة مع ISO/IEC 27002 وISO/IEC 42001 وقانون الذكاء الاصطناعي الأوروبي وNIST وMITRE ATLAS وOWASP وETSI
  • جدول للتقييم الذاتي، وإرشادات SoA، وأسئلة فحص للمراجعة الداخلية والتدقيق، ومصفوفة أدلة، ومؤشرات، وخطة زمنية لمدة 12 شهرًا
تنزيل مجاني

اطلبوا الورقة البيضاء

ISO/IEC 27090 لكبار مسؤولي أمن المعلومات: حماية أنظمة الذكاء الاصطناعي من التهديدات الأمنية

ما تقدّمه الورقة البيضاء للنهج المشترك

بطاقات تعريف التهديدات للمرحلة 1

كل نوع من أنواع الاختراق التسعة مع وصفه وعواقبه وسبل اكتشافه والتصدي له بصياغتنا الخاصة، مصنّفًا حسب مرحلة دورة الحياة والأصل، ليكون كتالوجًا للتهديدات في تقييم المخاطر.

إرشادات SoA ومصفوفة المواءمة للمرحلة 2

إرشادات حول كيفية إدراج ISO/IEC 27090 مصدرًا في بيان قابلية التطبيق، ومصفوفة تقابل عائلات تدابير 27090 مع ISO/IEC 27002 وISO/IEC 42001 وقانون الذكاء الاصطناعي الأوروبي وNIST وMITRE ATLAS وOWASP وETSI.

الخطة الزمنية للمرحلة 3

خطة زمنية لمدة 12 شهرًا تبدأ بانطلاقة مدتها 100 يوم، وتندمج في خارطة الطريق للمشروع المشترك.

أسئلة الفحص ومصفوفة الأدلة للمرحلتين 7 و8

أسئلة فحص للمراجعة الداخلية والتدقيق الداخلي، ومصفوفة أدلة ومؤشرات، قابلة للاستخدام مباشرة في التدقيق الداخلي ومراجعة الإدارة.

للتعمّق

ISO/IEC 27090 بالتفصيل: تسعة تهديدات، ودورة الحياة، والمتصفح

تعرض هذه الصفحة النهج المشترك. أما ما يصفه ISO/IEC 27090 بالتفصيل، من حالة المعيار وهيكله، إلى أنواع الاختراق التسعة مع سبل اكتشافها والتصدي لها، وتصنيفها حسب دورة حياة الذكاء الاصطناعي، فتشرحه دراستنا المعمّقة حول المعيار، إلى جانب ثلاثة أنماط لمصدر النموذج، من نموذجكم الخاص إلى واجهة API خارجية، ومتصفح للإحالات المرجعية يشمل قانون الذكاء الاصطناعي الأوروبي وNIST وMITRE ATLAS وOWASP.

ISO/IEC 27090:2026نُشر في 14 أكتوبر 2026، 56 صفحة
9أنواع اختراق في البند 6
3ملاحق: دورة الحياة، متغيرات الذكاء الاصطناعي، التعلّم الاتحادي
  • حالة المعيار ونشأته وهيكله، مع جميع مراحل عملية إعداد المعايير
  • التهديدات في كل مرحلة من دورة الحياة، مع أسئلة الفحص والأدلة
  • متصفح الإحالات المرجعية ومواءمتها مع قانون الذكاء الاصطناعي الأوروبي وNIST وMITRE ATLAS وOWASP
  • فحص فجوات ISO 27090 خاص بأنظمة الذكاء الاصطناعي
دراسة ISO/IEC 27090 المعمّقةISO/IEC 27090 في كتالوج ISO

ISO/IEC 27090 معيار إرشادي؛ أما المعياران القابلان لمنح الشهادة فهما ISO/IEC 27001 وISO/IEC 42001.

مسرد المصطلحات

مسرد المصطلحات: مفاهيم النهج المشترك

27 مصطلحًا من ISO/IEC 27001 وISO/IEC 27090 وإجراءات منح الشهادة، بتعريفات موجزة وبصياغتنا الخاصة، مع المصطلح المقابل باللغة الأخرى بديلًا.

27 من أصل 27 مصطلحًا
نظام إدارة أمن المعلومات (ISMS)Information security management system
نظام لإدارة أمن المعلومات وفق ISO/IEC 27001: قواعد وعمليات وأدوار وأدلة تدير بها المؤسسة أمن المعلومات على أساس المخاطر وتحسّنه باستمرار. وفي النموذج المشترك يحمل هذا النظام أمن الذكاء الاصطناعي أيضًا.
بيان قابلية التطبيقStatement of Applicability (SoA)
وثيقة وفق ISO/IEC 27001 تسرد جميع التدابير اللازمة، وتعلّل إدراجها، وتبيّن حالة تنفيذها، وتبرّر استبعاد أي من ضوابط الملحق A. وفيها ترد تدابير الذكاء الاصطناعي المستمدة من ISO/IEC 27090.
الملحق AAnnex A
الكتالوج المرجعي في ISO/IEC 27001:2022، ويضم 93 ضابطًا في أربعة مجالات: تنظيمية، وبشرية، ومادية، وتقنية. وهو ليس قائمة حصرية: فالتدابير الإضافية من مصادر أخرى مثل ISO/IEC 27090 مسموح بها صراحةً.
تقييم المخاطرRisk assessment
تحديد مخاطر أمن المعلومات وتحليلها وتقييمها وفق معايير محددة. وفي النموذج المشترك تُقيَّم أنواع الاختراق التسعة في ISO/IEC 27090 بوصفها تهديدات لكل نظام ذكاء اصطناعي.
خطة معالجة المخاطرRisk treatment plan
خطة تحدد كيفية معالجة المخاطر المقيَّمة، مع التدابير والمسؤولين والمواعيد؛ ويقبل مالكو المخاطر المخاطرَ المتبقية.
تحليل الفجواتGap analysis
مقارنة بين الوضع الحالي والمتطلبات المستهدفة. ويقيّم تحليل الفجوات المشترك كل متطلب من متطلبات ISO/IEC 27001 من حيث امتداده الخاص بالذكاء الاصطناعي أيضًا، ويضيف المحتوى الخاص بالذكاء الاصطناعي في ISO/IEC 27090.
النطاقScope
حدود نظام إدارة أمن المعلومات وقابليته للتطبيق. ولكي تكون للشهادة دلالة فيما يخص الذكاء الاصطناعي، يجب أن تقع ضمنه أنظمة الذكاء الاصطناعي ومسارات البيانات وواجهات النماذج ذات الصلة.
نظام الذكاء الاصطناعيAI system
نظام تقني يولّد من المدخلات، بمساعدة النماذج، مخرجاتٍ كالتنبؤات أو المحتوى أو القرارات. ويرى ISO/IEC 27090 أنظمة الذكاء الاصطناعي مكوّنات برمجية مدمجة تحمل جميع الثغرات التقليدية، إضافةً إلى تهديدات جديدة مصدرها البيانات والمدخلات المتلاعب بها والإجراءات التي تنفذها نماذج الذكاء الاصطناعي.
جرد الذكاء الاصطناعيAI inventory, AI-BOM
سجل بجميع أنظمة الذكاء الاصطناعي مع نماذجها ومجموعات بياناتها وموجّهاتها (Prompts) وواجهاتها وصلاحياتها على الأدوات ومالكيها؛ وتضيف قائمة مكونات الذكاء الاصطناعي (AI-BOM) إصدارات النماذج ومجموعات البيانات والمكتبات. وهو أساس برنامج حوكمة الذكاء الاصطناعي في ISO/IEC 27090.
نوع الاختراقType of compromise
فئة من الهجمات الخاصة بالذكاء الاصطناعي في البند 6 من ISO/IEC 27090؛ وهي تسعة أنواع، لكلٍّ منها وصف وعواقب وسبل اكتشاف وتصدٍّ.
Data Poisoningتسميم البيانات
التلاعب ببيانات التدريب أو الضبط الدقيق أو الاسترجاع لتغيير سلوك النموذج بشكل موجّه أو غير موجّه. ومن سبل التصدي: أدلة المنشأ، وفحوص السلامة، والحد من البيانات.
Evasionهجوم التهرّب، adversarial attack
مدخلات مُعدَّلة عمدًا تدفع النموذج إلى نتائج خاطئة؛ وقد تكون التعديلات غير ملحوظة للبشر.
Model Exfiltrationسرقة النموذج، model extraction
استنساخ نموذج أو استخراجه، حتى عبر استعلامات مشروعة. ومن سبل التصدي: تقييد معدل الاستخدام، وحدود عدد الطلبات، والتسجيل، ومراقبة أنماط الاستعلام.
Membership Inferenceاستدلال العضوية
استنتاج ما إذا كان سجل بيانات معيّن قد استُخدم في التدريب، وهو خطر على السرية وحماية البيانات.
Model Inversionعكس النموذج
إعادة بناء خصائص بيانات التدريب من مخرجات النموذج.
Direct Model Poisoningالتسميم المباشر للنموذج
تلاعب مباشر بالنموذج أو بملفاته أثناء التطوير أو التشغيل؛ ومن سبل التصدي: بيئات تطوير محمية، والتوقيعات والمجاميع الاختبارية (Checksums) لملفات النماذج.
Sensitive Model Outputمخرجات النموذج الحساسة
مخرجات تكشف معلومات تستوجب الحماية، مصدرها مثلًا بيانات التدريب أو مدخلات سابقة.
Prompt Injectionحقن الموجّهات
محتوى يتلاعب بسلوك النموذج بوصفه تعليمة إدخال أو ضمنها، إما مباشرة أو بشكل غير مباشر عبر مستندات أو صفحات ويب أو رسائل بريد إلكتروني يعالجها النموذج.
مخرجات تحتوي هجمات حقنOutput contains injection attacks
مخرجات نموذج تعمل كهجوم في الأنظمة اللاحقة، مثلًا في صورة شيفرة برمجية أو استعلام أو رابط. ولذلك تُعامَل المخرجات دائمًا على أنها غير موثوقة، وتُرمَّز وتُفحَص.
الثقة الصفريةZero Trust
مبدأ عدم منح الثقة الضمنية لأي وصول. ويطبّقه ISO/IEC 27090 على بيانات التدريب، والوصول إلى النماذج بما في ذلك RAG، وحدود تطبيقات الذكاء الاصطناعي، وإجراءات الوكلاء، والمراقبة المستمرة.
اختبارات الفريق الأحمرRed Teaming
محاكاة هجمات موجّهة ضد أنظمة الذكاء الاصطناعي لفحص الثغرات وفعالية التدابير؛ وهي في النموذج المشترك دليل محوري على الفعالية في التدقيق ومنح الشهادة.
المنشأData provenance
المصدر القابل للإثبات وتاريخ معالجة البيانات وأنظمة الذكاء الاصطناعي، وهو شرط لحصر التسميم والتلاعب.
التدقيق الداخليInternal audit
فحص مخطط وموضوعي للتحقق مما إذا كان نظام إدارة أمن المعلومات يستوفي متطلبات المؤسسة نفسها ومتطلبات ISO/IEC 27001 وما إذا كان فعالًا؛ وفي النموذج المشترك يشمل عينات من الذكاء الاصطناعي.
مراجعة الإدارةManagement review
تقييم الإدارة العليا لنظام إدارة أمن المعلومات على فترات مخططة، بمدخلات محددة وقرارات موثقة بشأن التحسينات والتغييرات اللازمة.
عدم المطابقةNonconformity
عدم استيفاء متطلب ما؛ وتستلزم التصحيح وتحليل الأسباب الجذرية والإجراء التصحيحي والتحقق من فعاليته.
تدقيق المرحلة 1 والمرحلة 2Stage 1 / stage 2 audit
منح الشهادة لأول مرة على مرحلتين: تفحص المرحلة 1 التوثيق والجاهزية للشهادة، وتفحص المرحلة 2 الفعالية في الموقع. وتسري الشهادة بعدها ثلاث سنوات، مع عمليات تدقيق المراقبة في السنوات التالية ثم إعادة منح الشهادة.
نظام إدارة الذكاء الاصطناعي (AIMS)AI management system
نظام لإدارة الذكاء الاصطناعي وفق ISO/IEC 42001، قابل لمنح الشهادة ويمكن اختياريًا دمجه مع نظام إدارة أمن المعلومات، إذا كان المطلوب إثبات إدارة الذكاء الاصطناعي ككل.
الأسئلة الشائعة

أسئلة شائعة حول التنفيذ المشترك لـ ISO 27001 وISO 27090

إجابات موجزة عن أسئلة نموذجية تطرحها الإدارة العليا ومكتب كبير مسؤولي أمن المعلومات وفرق هندسة الذكاء الاصطناعي والامتثال والمراجعة الداخلية.

نعم، وهذا هو الطريق البديهي. فـ ISO/IEC 27090 معيار إرشادي لا يتضمن نظام إدارة خاصًا به؛ إذ يبني على ممارسة ISO/IEC 27001 و27002، ويضيف إليها تسعة أنواع من الاختراق خاصة بالذكاء الاصطناعي مع سبل اكتشافها والتصدي لها. وفي النهج المشترك تدخل هذه الأنواع في تقييم المخاطر ضمن نظام إدارة أمن المعلومات، وتدخل تدابير التصدي في بيان قابلية التطبيق؛ ويتناولها بالفحص كلٌّ من التدقيق الداخلي ومراجعة الإدارة وتدقيق الشهادة.

لا. فـ ISO/IEC 27090 لا يضع متطلبات لنظام إدارة، وهو غير قابل لمنح الشهادة. وللتوجيه والإدارة تستخدمون نظام إدارة أمن المعلومات وفق ISO/IEC 27001، بمنهجية مخاطر واحدة، وسجل مخاطر واحد، وبيان قابلية تطبيق واحد، ونظام واحد لضبط الوثائق. ومن يريد إضافةً إلى ذلك إثبات إدارة الذكاء الاصطناعي ككل، يمكنه دمج نظام لإدارة الذكاء الاصطناعي وفق ISO/IEC 42001؛ فالمعياران يتشاركان البنية الأساسية نفسها.

لا. فـ ISO/IEC 27090 معيار إرشادي؛ ولا توجد شهادة ولا تدقيق «وفق 27090». فالشهادة تُمنح لنظام إدارة أمن المعلومات وفق ISO/IEC 27001، بنطاق يشمل أنظمة الذكاء الاصطناعي، وببيان قابلية تطبيق ترد فيه التدابير المستمدة من ISO/IEC 27090. أما عبارات مثل «حاصل على شهادة ISO 27090» أو «مطابق لـ 27090» فهي مضللة.

ليس بالضرورة على التوالي، لكن ISO/IEC 27090 يحتاج إلى إطار تُقيَّم فيه المخاطر وتُدار فيه التدابير وتُحفظ فيه الأدلة. فإن لم يكن لديكم نظام لإدارة أمن المعلومات، فالأفضل أن تبنوا النظام وملف الذكاء الاصطناعي في مشروع واحد؛ فهذا يجنّبكم ازدواجية العمل التي يفرضها مشروعان منفصلان. وإن كان لديكم نظام قائم، فالدمج تغيير مخطط يندرج في دورة الشهادة الجارية.

يشترط ISO/IEC 27001 مقارنة التدابير المختارة بالملحق A، لكنه يسمح بتدابير من أي مصدر، فالملحق A ليس قائمة حصرية. وتُدرج إرشادات التصدي في ISO/IEC 27090 إما بوصفها الامتداد الخاص بالذكاء الاصطناعي للضوابط القائمة، كتوسيع التسجيل ليشمل المدخلات والمخرجات واستدعاءات الأدوات، أو بوصفها ضوابط إضافية للذكاء الاصطناعي لكلٍّ منها معرّف ومصدر ومبرر وحالة. ويرد كل تدبير مرة واحدة فقط في البيان، ويُواءَم مع عدة مراجع.

في جولة واحدة بدلًا من جولتين: تحديد النطاق مع الإدارة العليا، وجرد الذكاء الاصطناعي عبر جميع قنوات الحصول عليه بما في ذلك الذكاء الاصطناعي الخفي (Shadow AI)، ومراجعة وثائق نظام إدارة أمن المعلومات، ومقابلات مع فريق النظام والتشغيل وهندسة تعلّم الآلة والتطوير والمشتريات وحماية البيانات ووحدات الأعمال، وعينات فنية، وتقييم مزدوج لمستوى النضج لكل متطلب: لمتطلب نظام إدارة أمن المعلومات ولامتداده الخاص بالذكاء الاصطناعي. والنتيجة سجل فجوات بأولويات، وخريطة حرارية، وملخص تنفيذي للإدارة. ويسهّل فحص الفجوات المشترك في هذه الصفحة الخطوة الأولى.

يتوقف ذلك على نقطة الانطلاق، وعلى عدد أنظمة الذكاء الاصطناعي ونوعها، وعلى الموارد المتاحة. وبحسب القيم الاسترشادية من المشاريع: مع نظام لإدارة أمن المعلومات حاصل على الشهادة واقتصار على استخدام الذكاء الاصطناعي، نحو ثلاثة إلى ستة أشهر؛ ومع نماذج خاصة أو ضبط دقيق، نحو ستة إلى تسعة أشهر؛ وللبناء المشترك من الصفر حتى الجاهزية للشهادة، نحو تسعة إلى اثني عشر شهرًا. وقبل تدقيق الشهادة لا بد من أدلة التشغيل، ومن دورة واحدة على الأقل من التدقيق الداخلي ومراجعة الإدارة.

على مستوى العمليات، تتولى عمليات نظام إدارة أمن المعلومات القائمة حالات الذكاء الاصطناعي، أي الجرد وإدارة المخاطر والتغييرات والموردين والحوادث والثغرات، بدلًا من نشوء عمليات منفصلة للذكاء الاصطناعي إلى جانبها. وعلى مستوى البيانات، تُنقل السجلات والتدابير والأدلة ونتائج التدقيق من الجداول أو صفحات الويكي أو الأدوات القديمة إلى نموذج بيانات مشترك يدعم المواءمة مع عدة مراجع، مع التنقية والتشغيل التجريبي والقبول والحفاظ على سجل الأدلة.

تحتاج الإدارة العليا إلى إحاطة تدعم القرار بشأن المسؤولية والرغبة في المخاطر، وفريق نظام إدارة أمن المعلومات إلى منهجية الدمج، وفرق هندسة تعلّم الآلة والتطوير إلى تدريبات عملية على تسميم البيانات وسرقة النماذج وPrompt Injection ومعالجة المخرجات، وفريق التشغيل إلى تدريب على اكتشاف إساءة الاستخدام، والمشتريات وحماية البيانات والشؤون القانونية إلى ما يخص نقاط التماس لديها، والمدققون الداخليون إلى تدريب على تدقيق تدابير الذكاء الاصطناعي، وجميع الموظفين إلى تدريب توعوي على الاستخدام الآمن للذكاء الاصطناعي التوليدي. ويشترط ISO/IEC 27001 في ذلك الكفاءة والوعي، مع الأدلة المثبتة لهما.

يفحص ما إذا كانت تدابير الذكاء الاصطناعي الواردة في بيان قابلية التطبيق منفّذة وفعّالة: اكتمال جرد الذكاء الاصطناعي، وحداثة تقييمات المخاطر لكل نظام، وصلاحيات الوصول إلى النماذج والبيانات، وسجلات المدخلات والمخرجات واستدعاءات الأدوات، وأدلة التغيير عند استبدال النماذج، ومعالجة نتائج اختبارات الفريق الأحمر، وتقييم مزوّدي النماذج. ومرجع التدقيق هو ISO/IEC 27001 والمتطلبات الداخلية للمؤسسة؛ أما ISO/IEC 27090 فليس مرجعًا للتدقيق. ويجب أن يكون المدققون موضوعيين ومحايدين، فلا يدققون ما نفّذوه بأنفسهم.

كل ما يشترطه ISO/IEC 27001 لمراجعة الإدارة، مستكملًا بوضع الذكاء الاصطناعي: أنظمة الذكاء الاصطناعي الجديدة وما اكتُشف من ذكاء اصطناعي خفي، ومخاطر الذكاء الاصطناعي وحوادثه، ومؤشرات مثل نسبة تغطية الجرد ونسبة التسجيل، ونتائج التدقيق الداخلي واختبارات الفريق الأحمر، والمستجدات التنظيمية، والتغييرات لدى الموردين. والعنصر الحاسم هو القرارات الموثقة: الرغبة في المخاطر، والموارد، والنطاق، وعند الاقتضاء الموافقة على الانتقال إلى تدقيق الشهادة.

نعم، إذا كانت أنظمة الذكاء الاصطناعي ضمن النطاق. فالمدقق يفحص نظام إدارة أمن المعلومات وفق ISO/IEC 27001، ومن ثم يفحص أيضًا مخاطر الذكاء الاصطناعي في تقييم المخاطر وتدابير الذكاء الاصطناعي في بيان قابلية التطبيق: في تدقيق المرحلة 1 من خلال التوثيق، وفي تدقيق المرحلة 2 من حيث الفعالية. ولا يوجد تدقيق منفصل وفق ISO/IEC 27090؛ وتبقى الشهادة شهادة ISO/IEC 27001.

ISO/IEC 42001 هو المعيار القابل لمنح الشهادة لأنظمة إدارة الذكاء الاصطناعي، ويتجاوز نطاقه الأمن ليشمل مثلًا تقييم الأثر والمسؤوليات وجودة البيانات. ويحيل إليه ISO/IEC 27090 لتنفيذ برنامج حوكمة الذكاء الاصطناعي، ويذكر اثنين من تدابيره يتعلقان بتوثيق التطوير وبالتشغيل والمراقبة. وفي النموذج المشترك يُعد ISO/IEC 42001 خيارًا: فمن يريد إثبات إدارة الذكاء الاصطناعي ككل يدمجه ويُخضع النظامين لتدقيق مشترك. وفي 22 أكتوبر 2026 لم تكن أي جهة معتمدة من DAkkS لمنح الشهادات وفق ISO/IEC 42001 مدرجة في ألمانيا.

يساعد في التنفيذ، لكنه لا يحل محل تقييم المطابقة. إذ يشترط قانون الذكاء الاصطناعي الأوروبي للذكاء الاصطناعي عالي المخاطر، حيثما كان ذلك مناسبًا، تدابير ضد تسميم البيانات وتسميم النماذج وهجمات التهرّب والهجمات على السرية، وهي تهديدات تغطيها أنواع الاختراق في ISO/IEC 27090. ولا ينشأ افتراض المطابقة لا من ISO/IEC 27090 ولا من شهادة ISO 27001؛ أما المعيار المنسَّق المخصص لذلك، prEN 18282، فلا يزال في مرحلة المسودة. وتسري التزامات الأنظمة عالية المخاطر على الأنظمة المدرجة في الملحق III اعتبارًا من 2 ديسمبر 2027، وعلى الذكاء الاصطناعي في المنتجات المدرجة في الملحق I اعتبارًا من 2 أغسطس 2028.

نعم. فـ ISO/IEC 27090 يستهدف المؤسسات التي تطوّر أنظمة الذكاء الاصطناعي أو تستخدمها. وعند الاقتصار على الاستخدام ينتقل محور التركيز إلى: تقييم الموردين والعقود مع مزوّدي النماذج، وقواعد تحدد البيانات المسموح إدخالها في كل خدمة، والحماية من تسرّب البيانات، والتحكم في الوصول، والتسجيل، وفي حالة الذكاء الاصطناعي التوليدي، الحماية من Prompt Injection ومن المعالجة غير الآمنة للمخرجات.

لا. فـ ISO/IEC 27090:2026 متاح بالإنجليزية فقط؛ وتوزّع كلٌّ من DIN وAustrian Standards وSNV النسخة الإنجليزية الأصلية من ISO. في المقابل، يتوفر ISO/IEC 27001 بنسخة ألمانية هي DIN EN ISO/IEC 27001:2024-01. ونوصي في المشروع المشترك بمسرد مصطلحات ثنائي اللغة، كي يستخدم تقييم المخاطر وبيان قابلية التطبيق والتدريب المصطلحات نفسها.

المعايير والمصادر

يستند محتوى هذه الصفحة إلى الأدلة والدراسات التالية المتاحة للعموم.

ISO/IEC · 2022

ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements

معيار المتطلبات لنظام إدارة أمن المعلومات: البنود 4 إلى 10 والملحق A بضوابطه الـ 93؛ وهو أساس تقييم المخاطر وبيان قابلية التطبيق والتدقيق الداخلي ومراجعة الإدارة.

ISO/IEC · 2024

ISO/IEC 27001:2022/Amd 1:2024 — Climate action changes

يضيف إلى السياق والأطراف المعنية دراسة الموضوعات المتعلقة بالمناخ؛ دون ضوابط جديدة.

DIN Media · 2024

DIN EN ISO/IEC 27001:2024-01 — أنظمة إدارة أمن المعلومات — المتطلبات (النسخة الألمانية)

النسخة الألمانية من ISO/IEC 27001:2022؛ وقد عُدّلت بموجب DIN EN ISO/IEC 27001/A1:2024-11.

ISO/IEC · 2022

ISO/IEC 27002:2022 — Information security controls

إرشادات تنفيذ الضوابط الـ 93؛ ويحيل ISO/IEC 27090 إلى بنوده من 5 إلى 8، وكذلك إلى التسجيل والمراقبة والبنية الآمنة للأنظمة.

ISO/IEC JTC 1/SC 27 · 2026

ISO/IEC 27090:2026 — Cybersecurity — Artificial intelligence (AI) — Addressing security threats and compromises to AI systems

معيار إرشادي صدر في 14 أكتوبر 2026 في 56 صفحة، بالإنجليزية فقط: تسعة أنواع من الاختراق مع سبل اكتشافها والتصدي لها؛ غير قابل لمنح الشهادة.

ISO/IEC · 2026

ISO/IEC 27000:2026 — نظرة عامة ومصطلحات عائلة 27000

الإصدار السادس من معيار المصطلحات، بتاريخ 3 يوليو 2026؛ وهو مصدر تعريفات السرية والسلامة والتوافر المستخدمة في ISO/IEC 27090.

ISO/IEC · 2017

ISO/IEC 27003:2017 — Information security management systems — Guidance

إرشادات لتنفيذ متطلبات ISO/IEC 27001؛ ونسخة منقّحة منه في مرحلة المسودة.

ISO/IEC · 2022

ISO/IEC 27005:2022 — Guidance on managing information security risks

إرشادات لإدارة مخاطر أمن المعلومات، وهو الأساس المنهجي لتقييم أنواع الاختراق الخاصة بالذكاء الاصطناعي.

ISO/IEC · 2024

ISO/IEC 27006-1:2024 — Requirements for bodies providing audit and certification of information security management systems — Part 1: General

ينظّم مع ISO/IEC 17021-1 المتطلبات المفروضة على جهات منح الشهادات، ومنها سير التدقيق ومدته.

ISO/IEC · 2020

ISO/IEC 27007:2020 — Guidelines for information security management systems auditing

إرشادات لتدقيق أنظمة إدارة أمن المعلومات، مكمّلة لـ ISO 19011، وهي أساس التدقيق الداخلي بعينات من الذكاء الاصطناعي.

ISO · 2026

ISO 19011:2026 — Guidelines for auditing management systems

إرشادات لبرامج التدقيق وتنفيذه وكفاءة المدققين؛ الإصدار الرابع، ويحل محل ISO 19011:2018.

ISO/IEC · 2023

ISO/IEC 42001:2023 — Artificial intelligence — Management system

معيار قابل لمنح الشهادة لأنظمة إدارة الذكاء الاصطناعي؛ يحيل إليه ISO/IEC 27090 بشأن برنامج حوكمة الذكاء الاصطناعي، ويذكر اثنين من تدابير ملحقه A.

ISO/IEC JTC 1/SC 42 · 2022/2023

ISO/IEC 22989:2022 وISO/IEC 5338:2023 — مصطلحات الذكاء الاصطناعي وعمليات دورة حياة الذكاء الاصطناعي

ISO/IEC 22989 مرجع معياري لـ ISO/IEC 27090؛ ويشكّل المعياران معًا أساس دورة الحياة التي يصنّف المعيار الهجمات وفق مراحلها.

ISO/IEC JTC 1/SC 42 · 2023

ISO/IEC 23894:2023 — Artificial intelligence — Guidance on risk management

إرشادات لإدارة مخاطر الذكاء الاصطناعي، مفيدة لمنهجية تقييم مخاطر الذكاء الاصطناعي في نظام إدارة أمن المعلومات.

الجريدة الرسمية للاتحاد الأوروبي / EUR-Lex · 2024

اللائحة (EU) 2024/1689 (قانون الذكاء الاصطناعي الأوروبي)

متطلبات الذكاء الاصطناعي عالي المخاطر، بما فيها الدقة والمتانة والأمن السيبراني؛ ولا يُنشئ ISO/IEC 27090 افتراض المطابقة.

الجريدة الرسمية للاتحاد الأوروبي / EUR-Lex · 2026

اللائحة (EU) 2026/1744 (حزمة Digital Omnibus بشأن قانون الذكاء الاصطناعي)

مواعيد سريان ثابتة لالتزامات الأنظمة عالية المخاطر: 2 ديسمبر 2027 للملحق III، و2 أغسطس 2028 للملحق I.

هيئة الاعتماد الألمانية (DAkkS) · 2026

قاعدة بيانات الجهات المعتمدة

الحالة في 22 أكتوبر 2026: جهات عديدة معتمدة لمنح الشهادات وفق ISO/IEC 27001، ولا توجد أي جهة معتمدة لـ ISO/IEC 42001.

خدمات مناسبة

ISO/IEC 27001 + 27090 — GRC ISO/IEC 27001 — ISMS ISO/IEC 42001 (AIMS) Audits (ISO/IEC 27001 / 42001) GRC Tool Migration VamiGRC vCISO & vISB Agentic AI Pentesting AI Threat Modeling — MAESTRO

ISO 27001 وISO 27090 في مشروع واحد، دون ازدواجية في العمل

نبدأ بتحليل الفجوات المشترك، ونقدّم خطة التدابير وخارطة الطريق والتنفيذ من جهة واحدة، مرورًا بالترحيل والتدريب الموجّه لكل فئة مستهدفة، وصولًا إلى مراجعة الإدارة، وإلى الجاهزية للشهادة عند الرغبة؛ أما التدقيق الداخلي فيتولاه فريق مستقل عن فريق التنفيذ.

حدّدوا موعد محادثة أوليةالعودة إلى المجال الموضوعي