كيفية الحصول على شهادة ISO 27001
حسب Paul Gillet · آخر تحديث 2026-10-17
ISO/IEC 27001 هو المعيار الدولي لـنظام إدارة أمن المعلومات (ISMS): الطريقة التي تحدد بها المؤسسة المخاطر الأمنية الجديرة بالاهتمام، وتعالجها، وتواصل تحسينها. وعلى خلاف SOC 2، ينتهي هذا المعيار بـشهادة تصدرها هيئة اعتماد شهادات معتمدة، وتكون صالحة لمدة ثلاث سنوات، مع مراجعات رقابية تُجرى في الفترات الفاصلة.
ما الذي يتطلبه المعيار
- البنود من 4 إلى 10 إلزامية: السياق والنطاق (4)، والقيادة والسياسة (5)، وتقييم المخاطر ومعالجتها والأهداف (6)، والموارد والكفاءة والتوعية والتواصل والمعلومات الموثقة (7)، وتشغيل الخطة (8)، والمراقبة والتدقيق الداخلي والمراجعة الإدارية (9)، والإجراءات التصحيحية والتحسين (10).
- الملحق A يسرد 93 ضابطًا في أربعة محاور: التنظيمية والأفراد والمادية والتقنية. وهي مجموعة مرجعية وليست قائمة تحقق: تختار الضوابط من خلال معالجة المخاطر، وتبرر كل إدراج واستبعاد في بيان قابلية التطبيق (SoA).
الإصدار الحالي هو ISO/IEC 27001:2022 (مع تعديل صدر عام 2024 يضيف تغير المناخ إلى بنود السياق). وانتهت فترة الانتقال من إصدار 2013 في 31 أكتوبر 2025، لذا أصبحت كل شهادة سارية مبنية الآن على إصدار 2022.
الخطوات
- تحديد النطاق (4.3): أي أجزاء من المؤسسة، وأي مواقع، وأي خدمات. يقرأ العملاء النطاق المذكور في شهادتك، فتأكد من أنه يشمل ما يشترونه.
- الحصول على التزام القيادة (5): سياسة أمن معلومات، وأدوار ومسؤوليات محددة، وموارد مخصصة.
- تحديد منهجية تقييم المخاطر وتطبيقها (6.1.2): تحديد المخاطر التي تهدد السرية والسلامة والتوافر، مع تحديد المالكين والاحتمالية والأثر.
- معالجة المخاطر (6.1.3): اختيار الضوابط، ومقارنتها بالملحق A، وإعداد بيان قابلية التطبيق وخطة معالجة المخاطر المعتمدة من مالكي المخاطر.
- وضع أهداف أمنية قابلة للقياس (6.2) والتخطيط للوصول إليها.
- التنفيذ والتشغيل (7–8): السياسات والإجراءات والتدريب والتوعية والضوابط، والأدلة الموثقة على أنها تعمل.
- القياس والمراجعة (9): مراقبة النظام، وإجراء تدقيق داخلي يقوم به شخص مستقل عن الأعمال التي يجري تدقيقها، وعقد مراجعة إدارية.
- معالجة ما يتم اكتشافه (10): تسجيل حالات عدم المطابقة والإجراءات التصحيحية.
- مراجعة المرحلة الأولى: تراجع هيئة الاعتماد وثائقك ومدى جاهزيتك.
- مراجعة المرحلة الثانية: تختبر هيئة الاعتماد مدى فعالية النظام عمليًا. ويجب إغلاق حالات عدم المطابقة الجسيمة قبل إصدار الشهادة.
اختيار هيئة الاعتماد
استعن بهيئة معتمدة لمعيار ISO/IEC 27001 من قبل هيئة اعتماد وطنية تنتمي إلى المنتدى الدولي للاعتماد (مثل UKAS وANAB وDAkkS وJAS-ANZ)، وتحقق من أن اعتمادها يغطي نطاقك. فالشهادات الصادرة عن هيئات غير معتمدة أرخص ثمنًا، لكن العملاء غالبًا ما يرفضونها.
الجدول الزمني المعتاد
تستغرق كثير من المؤسسات الصغيرة والمتوسطة من ستة إلى اثني عشر شهرًا من البداية حتى الحصول على الشهادة. ويحتاج النظام إلى فترة تشغيل كافية لإنتاج سجلات حقيقية قبل المرحلة الثانية: تدقيق داخلي واحد على الأقل، ومراجعة إدارية واحدة، وأدلة على عمل الضوابط. وبعد الحصول على الشهادة، توقع مراجعات رقابية في السنتين الأولى والثانية، ومراجعة لإعادة الاعتماد في السنة الثالثة.
الأدلة التي يبحث عنها المدققون
- النطاق وسياسة الأمن والأهداف مع قياساتها؛
- منهجية تقييم المخاطر وسجل المخاطر وخطة معالجة المخاطر؛
- بيان قابلية التطبيق مع المبررات؛
- سجلات الكفاءة والتدريب؛
- تقارير التدقيق الداخلي ومحاضر المراجعة الإدارية؛
- سجلات عدم المطابقة والإجراءات التصحيحية؛
- السجلات التشغيلية للضوابط التي اخترتها: مراجعات الصلاحيات، وسجلات التغيير، وتقييمات الموردين، وسجلات الحوادث، والنسخ الاحتياطية.
أمور تُوقع الناس في الخطأ
- تقييمات المخاطر النموذجية: يسأل المدققون عن كيفية تحديد مخاطرك وسبب اختيار كل ضابط. فالقائمة العامة دون تحديد للمالكين لن تجتاز هذا الاختبار.
- استبعادات بيان قابلية التطبيق غير المبررة: يتطلب استبعاد أي ضابط سببًا مرتبطًا بمخاطرك أو نطاقك.
- استقلالية التدقيق الداخلي: لا ينبغي للشخص الذي بنى النظام أن يدقق عمله هو.
- نطاق ضيق لا يفيد: شهادة تغطي مكتبًا واحدًا لن تُرضي عميلًا يشتري خدمتك السحابية.
كيف يساعدك هذا الموقع
تسرد ControlMapping كل ضابط في الملحق A وكل بند من بنود النظام مع ما يقابله في عشرة أطر أخرى. وتأتي الروابط بين ضوابط الملحق A وNIST CSF 2.0 وSP 800-53 من جداول المطابقة المنشورة؛ ونص الضوابط مملوك لحقوق نشر ISO، لذا نعرض العناوين فقط. وإذا كنت تتبع SOC 2 أو NIST أو NIS2 بالفعل، يُظهر الجدول أدناه وتحليل الفجوات ما الذي يمكن نقله. وغالبًا ما يكون نظام الإدارة الذي تمثله البنود من 4 إلى 10 أكبر جزء من العمل الجديد.
لديك إطار آخر بالفعل؟
عدد متطلبات ISO 27001 التي يُربط بها كل إطار قد تتبعه بالفعل. افتح تقرير فجوات للاطلاع على القائمة متطلباً بمتطلب.
| إذا كان لديك بالفعل | متطلبات ISO 27001 المربوطة | ذو صلة فضفاضة فقط | لا يوجد ربط | |
|---|---|---|---|---|
| 800-53 | 121 من 123 | 1 | 1 | تقرير الفجوات → · مقارنة |
| NIS2 | 104 من 123 | 13 | 6 | تقرير الفجوات → · مقارنة |
| SOC 2 | 98 من 123 | 21 | 4 | تقرير الفجوات → · مقارنة |
| NIST CSF 2.0 | 79 من 123 | 34 | 10 | تقرير الفجوات → · مقارنة |
| PCI DSS | 76 من 123 | 37 | 10 | تقرير الفجوات → · مقارنة |
| DORA | 70 من 123 | 36 | 17 | تقرير الفجوات → |
| CMMC | 65 من 123 | 41 | 17 | تقرير الفجوات → |
| HIPAA | 58 من 123 | 46 | 19 | تقرير الفجوات → · مقارنة |
| CIS v8.1 | 53 من 123 | 38 | 32 | تقرير الفجوات → · مقارنة |
| GDPR | 47 من 123 | 47 | 29 | تقرير الفجوات → · مقارنة |
| CPS 234 | 35 من 123 | 40 | 48 | تقرير الفجوات → |
| Essential Eight | 23 من 123 | 39 | 61 | تقرير الفجوات → · مقارنة |
| Cyber Essentials | 20 من 123 | 19 | 84 | تقرير الفجوات → |
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. تُحسب الأعداد من البيانات نفسها المستخدمة في تحليل الفجوات؛ والمطابقة تعني متطلبات مرتبطة، ولا تعني أن أحدها يستوفي الآخر.
الأسئلة
ما مدة صلاحية شهادة ISO 27001؟
ثلاث سنوات، شريطة اجتياز المراجعات الرقابية السنوية. ويجب إجراء مراجعة لإعادة الاعتماد قبل انتهاء صلاحيتها.
هل يجب علينا تطبيق جميع الضوابط الـ93 في الملحق A؟
لا. تختار الضوابط من خلال معالجة المخاطر، وتبرر كل إدراج واستبعاد في بيان قابلية التطبيق.
أيهما أفضل: ISO 27001 أم SOC 2؟
لا يوجد أفضل منهما بالمطلق، لأن العملاء يطلبون أشياء مختلفة. ISO 27001 شهادة معترف بها دوليًا، أما SOC 2 فهو تقرير تأكيد على الطراز الأمريكي. راجع ISO 27001 مقابل SOC 2.
ليست نصيحة قانونية أو في الامتثال. راجع النص الرسمي ومدقق الحسابات أو المقيّم أو الجهة التنظيمية قبل الاعتماد عليه.