الإطار
ISO/IEC 27001:2022
ما هو
المعيار الدولي لـنظام إدارة أمن المعلومات (ISMS). البنود من 4 إلى 10 متطلبات إلزامية لنظام الإدارة، ويتضمن الملحق A 93 ضابطاً مرجعياً، تُختار من خلال معالجة المخاطر ويُبرَّر اختيارها في بيان قابلية التطبيق (Statement of Applicability).
من يحتاجه
المؤسسات التي تحتاج إلى إثبات معترف به دولياً على مستوى الأمن: وهو أمر شائع لدى شركات البرمجيات والخدمات التي تبيع للمؤسسات والقطاع العام، لا سيما خارج الولايات المتحدة.
كيف يُقيَّم
تُجري جهة اعتماد معتمدة تدقيق المرحلة 1 (التوثيق) والمرحلة 2 (التنفيذ). تمتد الشهادة لثلاث سنوات، مع تدقيقات المراقبة في السنتين الأولى والثانية. راجع كيفية الحصول على الشهادة.
اقرأ الدليل: كيفية الحصول على شهادة ISO 27001 →
123
ضوابط الملحق A وبنود نظام إدارة أمن المعلومات
123
مُطابَق مع إطار آخر
100%
الموضوعات المغطاة (50/50)
الأعداد: البنود تُحتسب عند أدنى مستوى لها (6.1.1–6.1.3، لا 6.1).
المقارنات
NIST CSF 2.0 vs ISO 27001ISO 27001 vs CIS v8.1ISO 27001 vs SOC 2ISO 27001 vs PCI DSSISO 27001 vs 800-53ISO 27001 vs HIPAAISO 27001 vs GDPRISO 27001 vs NIS2ISO 27001 vs Essential Eight
المتطلبات
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
| ID | المتطلب | الموضوعات | مُطابَق في |
|---|---|---|---|
| A.5 Organizational controls · 37 | |||
| A.5.1 | Policies for information security | سياسة الحوكمة | 9 من 13 |
| A.5.2 | Information security roles and responsibilities | الأدوار والمسؤوليات | 9 من 13 |
| A.5.3 | Segregation of duties | — | 3 من 13 |
| A.5.4 | Management responsibilities | الأدوار والمسؤوليات | 9 من 13 |
| A.5.5 | Contact with authorities | الإبلاغ | 12 من 13 |
| A.5.6 | Contact with special interest groups | الاتصالات | 8 من 13 |
| A.5.7 | Threat intelligence | استخبارات التهديدات | 7 من 13 |
| A.5.8 | Information security in project management | — | 1 من 13 |
| A.5.9 | Inventory of information and other associated assets | إدارة الأصول | 13 من 13 |
| A.5.10 | Acceptable use of information and other associated assets | — | 2 من 13 |
| A.5.11 | Return of assets | إدارة الأصول | 13 من 13 |
| A.5.12 | Classification of information | تصنيف البيانات | 9 من 13 |
| A.5.13 | Labelling of information | تصنيف البيانات | 9 من 13 |
| A.5.14 | Information transfer | حماية البيانات, أمن البريد الإلكتروني | 12 من 13 |
| A.5.15 | Access control | التحكم في الوصول, الثقة المعدومة | 11 من 13 |
| A.5.16 | Identity management | التحكم في الوصول | 11 من 13 |
| A.5.17 | Authentication information | — | 2 من 13 |
| A.5.18 | Access rights | التحكم في الوصول | 11 من 13 |
| A.5.19 | Information security in supplier relationships | مخاطر سلسلة التوريد, إدارة مخاطر الموردين | 10 من 13 |
| A.5.20 | Addressing information security within supplier agreements | إدارة مخاطر الموردين | 10 من 13 |
| A.5.21 | Managing information security in the ICT supply chain | مخاطر سلسلة التوريد | 9 من 13 |
| A.5.22 | Monitoring, review and change management of supplier services | إدارة مخاطر الموردين | 10 من 13 |
| A.5.23 | Information security for use of cloud services | أمن السحابة | 11 من 13 |
| A.5.24 | Information security incident management planning and preparation | الاستجابة للحوادث | 12 من 13 |
| A.5.25 | Assessment and decision on information security events | SIEM / SOC, الاستجابة للحوادث | 12 من 13 |
| A.5.26 | Response to information security incidents | الاستجابة للحوادث, التخفيف, التواصل والاستعادة | 12 من 13 |
| A.5.27 | Learning from information security incidents | الدروس المستفادة | 9 من 13 |
| A.5.28 | Collection of evidence | الطب الشرعي الرقمي | 7 من 13 |
| A.5.29 | Information security during disruption | تخطيط الاستعادة, استمرارية الأعمال | 9 من 13 |
| A.5.30 | ICT readiness for business continuity | تخطيط الاستعادة, استمرارية الأعمال, التعافي من الكوارث | 10 من 13 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | الامتثال | 10 من 13 |
| A.5.32 | Intellectual property rights | — | 2 من 13 |
| A.5.33 | Protection of records | — | 2 من 13 |
| A.5.34 | Privacy and protection of PII | — | 2 من 13 |
| A.5.35 | Independent review of information security | — | 3 من 13 |
| A.5.36 | Compliance with policies, rules and standards for information security | الامتثال | 10 من 13 |
| A.5.37 | Documented operating procedures | سياسة الحوكمة | 9 من 13 |
| A.6 People controls · 8 | |||
| A.6.1 | Screening | التهديدات الداخلية | 9 من 13 |
| A.6.2 | Terms and conditions of employment | — | 2 من 13 |
| A.6.3 | Information security awareness, education and training | التوعية والتدريب | 10 من 13 |
| A.6.4 | Disciplinary process | التهديدات الداخلية | 9 من 13 |
| A.6.5 | Responsibilities after termination or change of employment | — | 2 من 13 |
| A.6.6 | Confidentiality or non-disclosure agreements | — | 1 من 13 |
| A.6.7 | Remote working | أمن الأجهزة المحمولة | 7 من 13 |
| A.6.8 | Information security event reporting | الإبلاغ | 12 من 13 |
| A.7 Physical controls · 14 | |||
| A.7.1 | Physical security perimeters | الأمن المادي | 8 من 13 |
| A.7.2 | Physical entry | الأمن المادي | 8 من 13 |
| A.7.3 | Securing offices, rooms and facilities | الأمن المادي | 8 من 13 |
| A.7.4 | Physical security monitoring | الأمن المادي | 8 من 13 |
| A.7.5 | Protecting against physical and environmental threats | الأمن المادي | 8 من 13 |
| A.7.6 | Working in secure areas | الأمن المادي | 8 من 13 |
| A.7.7 | Clear desk and clear screen | — | 2 من 13 |
| A.7.8 | Equipment siting and protection | الأمن المادي | 8 من 13 |
| A.7.9 | Security of assets off-premises | — | 1 من 13 |
| A.7.10 | Storage media | — | 2 من 13 |
| A.7.11 | Supporting utilities | الأمن المادي | 8 من 13 |
| A.7.12 | Cabling security | الأمن المادي | 8 من 13 |
| A.7.13 | Equipment maintenance | — | 2 من 13 |
| A.7.14 | Secure disposal or re-use of equipment | إدارة الأصول | 13 من 13 |
| A.8 Technological controls · 34 | |||
| A.8.1 | User endpoint devices | حماية نقاط النهاية, أمن الأجهزة المحمولة | 10 من 13 |
| A.8.2 | Privileged access rights | الوصول المميز | 10 من 13 |
| A.8.3 | Information access restriction | التحكم في الوصول | 11 من 13 |
| A.8.4 | Access to source code | — | 1 من 13 |
| A.8.5 | Secure authentication | المصادقة متعددة العناصر, الثقة المعدومة, أمن واجهات برمجة التطبيقات | 10 من 13 |
| A.8.6 | Capacity management | — | 2 من 13 |
| A.8.7 | Protection against malware | حماية نقاط النهاية | 10 من 13 |
| A.8.8 | Management of technical vulnerabilities | إدارة الثغرات, إدارة الرقع | 13 من 13 |
| A.8.9 | Configuration management | الإعدادات الآمنة | 9 من 13 |
| A.8.10 | Information deletion | حماية البيانات | 11 من 13 |
| A.8.11 | Data masking | حماية البيانات | 11 من 13 |
| A.8.12 | Data leakage prevention | DLP | 7 من 13 |
| A.8.13 | Information backup | النسخ الاحتياطي والاستعادة | 11 من 13 |
| A.8.14 | Redundancy of information processing facilities | استمرارية الأعمال, التعافي من الكوارث | 10 من 13 |
| A.8.15 | Logging | التسجيل والتدقيق | 10 من 13 |
| A.8.16 | Monitoring activities | المراقبة المستمرة, كشف التسلل, اكتشاف الشذوذ, SIEM / SOC, التهديدات الداخلية | 12 من 13 |
| A.8.17 | Clock synchronization | التسجيل والتدقيق | 10 من 13 |
| A.8.18 | Use of privileged utility programs | الوصول المميز | 10 من 13 |
| A.8.19 | Installation of software on operational systems | حماية نقاط النهاية | 10 من 13 |
| A.8.20 | Networks security | جدار الحماية / تجزئة الشبكة, أمان نظام أسماء النطاقات (DNS), WAF | 9 من 13 |
| A.8.21 | Security of network services | جدار الحماية / تجزئة الشبكة, أمان نظام أسماء النطاقات (DNS) | 9 من 13 |
| A.8.22 | Segregation of networks | جدار الحماية / تجزئة الشبكة, الثقة المعدومة | 9 من 13 |
| A.8.23 | Web filtering | — | 1 من 13 |
| A.8.24 | Use of cryptography | التشفير | 10 من 13 |
| A.8.25 | Secure development life cycle | التطوير الآمن | 8 من 13 |
| A.8.26 | Application security requirements | التطوير الآمن, أمن تطبيقات الويب, أمن واجهات برمجة التطبيقات | 8 من 13 |
| A.8.27 | Secure system architecture and engineering principles | — | 1 من 13 |
| A.8.28 | Secure coding | التطوير الآمن | 8 من 13 |
| A.8.29 | Security testing in development and acceptance | التطوير الآمن | 8 من 13 |
| A.8.30 | Outsourced development | — | 2 من 13 |
| A.8.31 | Separation of development, test and production environments | — | 2 من 13 |
| A.8.32 | Change management | — | 4 من 13 |
| A.8.33 | Test information | — | 2 من 13 |
| A.8.34 | Protection of information systems during audit testing | — | 1 من 13 |
| ISMS clauses 4–10 · 30 | |||
| Clause 4.1 | Understanding the organization and its context | بيئة الأعمال | 5 من 13 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | بيئة الأعمال | 5 من 13 |
| Clause 4.3 | Determining the scope of the ISMS | — | 2 من 13 |
| Clause 4.4 | Information security management system | — | 1 من 13 |
| Clause 5.1 | Leadership and commitment | — | 2 من 13 |
| Clause 5.2 | Policy | سياسة الحوكمة | 9 من 13 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | — | 3 من 13 |
| Clause 6.1.1 | General | إدارة المخاطر | 10 من 13 |
| Clause 6.1.2 | Information security risk assessment | تقييم المخاطر | 10 من 13 |
| Clause 6.1.3 | Information security risk treatment | إدارة المخاطر, تقييم المخاطر | 10 من 13 |
| Clause 6.2 | Information security objectives and planning to achieve them | — | 3 من 13 |
| Clause 6.3 | Planning of changes | — | 2 من 13 |
| Clause 7.1 | Resources | — | 2 من 13 |
| Clause 7.2 | Competence | — | 3 من 13 |
| Clause 7.3 | Awareness | التوعية والتدريب | 10 من 13 |
| Clause 7.4 | Communication | الاتصالات, التواصل والاستعادة | 9 من 13 |
| Clause 7.5.1 | General | — | 1 من 13 |
| Clause 7.5.2 | Creating and updating | — | 1 من 13 |
| Clause 7.5.3 | Control of documented information | — | 1 من 13 |
| Clause 8.1 | Operational planning and control | — | 2 من 13 |
| Clause 8.2 | Information security risk assessment | — | 4 من 13 |
| Clause 8.3 | Information security risk treatment | — | 4 من 13 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | الامتثال | 10 من 13 |
| Clause 9.2.1 | General | — | 1 من 13 |
| Clause 9.2.2 | Internal audit programme | — | 1 من 13 |
| Clause 9.3.1 | General | — | 1 من 13 |
| Clause 9.3.2 | Management review inputs | — | 1 من 13 |
| Clause 9.3.3 | Management review results | — | 1 من 13 |
| Clause 10.1 | Continual improvement | الدروس المستفادة | 9 من 13 |
| Clause 10.2 | Nonconformity and corrective action | — | 2 من 13 |
تغطية الموضوع
الموضوعات ذات متطلبات ISO 27001 المربوطة (50):
سياسة الحوكمةالتوعية والتدريبإدارة المخاطرمخاطر سلسلة التوريدالأدوار والمسؤولياتالامتثالإدارة الأصولتقييم المخاطربيئة الأعمالتصنيف البياناتإدارة الثغراتاستخبارات التهديداتالتحكم في الوصولالمصادقة متعددة العناصرالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةالوصول المميزجدار الحماية / تجزئة الشبكةحماية نقاط النهايةإدارة الرقعالإعدادات الآمنةالتطوير الآمنأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةأمن الأجهزة المحمولةأمن السحابةأمان نظام أسماء النطاقات (DNS)WAFDLPالمراقبة المستمرةالتسجيل والتدقيقكشف التسللاكتشاف الشذوذSIEM / SOCالاستجابة للحوادثالطب الشرعي الرقميالاتصالاتالتخفيفالإبلاغتخطيط الاستعادةاستمرارية الأعمالالدروس المستفادةالتواصل والاستعادةالتعافي من الكوارثأمن واجهات برمجة التطبيقاتالتهديدات الداخليةإدارة مخاطر الموردينالأمن المادي