أصبح معيار ISO/IEC 27001 مطلبًا شائعًا في المملكة. فالمنافسات تطلبه، والشركاء يسألون عنه، ومجالس الإدارة تراه علامة على أن الأمن يُدار بشكل صحيح. لكن الشهادة المعلقة على الجدار ليست هي نظام إدارة أمن المعلومات الذي يعمل فعلًا.

الأخطاء التالية شائعة، وليس فيها ما هو غريب. وغالبًا ما تأتي من التعامل مع المعيار كعقبة في المشتريات، لا كطريقة لإدارة الأمن.

الأخطاء الأربعة #

1. التعامل معه كأوراق لا كنظام إدارة #

أكثر الأخطاء شيوعًا قراءة ISO/IEC 27001 على أنه قائمة وثائق يجب إعدادها. فيكتب الفريق السياسات والإجراءات والسجلات، ويحفظها مرتبة، ويعتبر المهمة منتهية. بينما يصف المعيار نظام إدارة: دورة مستمرة من التخطيط والتشغيل والفحص والتحسين. الوثائق تثبت أن النظام يعمل، لكنها ليست النظام نفسه.

سيسأل المدقق: هل تجري مراجعات الصلاحيات فعلًا؟ هل تُسجَّل الحوادث ويُستفاد منها؟ هل تُقاس الأهداف ويُتخذ بشأنها إجراء؟ وإذا كان الجواب موجودًا على الورق فقط، فسيظهر ذلك بسرعة. ابنِ الممارسات أولًا، ثم اكتب وثائق تصف ما يحدث فعلًا.

2. نسخ بيان قابلية التطبيق دون تقييم حقيقي للمخاطر #

يوثّق بيان قابلية التطبيق ضوابط الملحق (أ) المنطبقة، وسبب انطباقها، ومدى تطبيق كل منها. ويجب أن يكون نتيجة لتقييم المخاطر لديك، لا قالبًا مستعارًا من جهة أخرى.

ومن الأنماط الشائعة بيانٌ يضع كل ضابط تقريبًا على أنه منطبق ومطبّق، دون تقييم مخاطر يفسر هذه الاختيارات. وهذا ترتيب معكوس. حدّد مخاطر أمن المعلومات أولًا، ثم قرر كيف تعالجها، وبعدها فقط برّر إدراج كل ضابط أو استبعاده. فإذا تعذّر ربط البيان بمخاطر محددة، تكثر الملاحظات عادة، لأن الصلة بين الخطر والضابط مفقودة.

3. توسيع النطاق أكثر من اللازم في وقت مبكر #

يدفع الطموح بعض الجهات إلى إدخال كل كيان وموقع ونظام في النطاق من اليوم الأول. فيتعثر البرنامج، لأن كل ضابط يجب إثباته في كل مكان دفعة واحدة.

أما النطاق الأول الأضيق، مثل خط عمل واحد أو مجموعة محددة من الخدمات والبنية التحتية التي تدعمها، فيتيح بناء نظام إدارة موثوق، والحصول على الشهادة، ثم توسيع النطاق في الدورات اللاحقة. ويبقى النطاق مطالبًا بالصدق، فيتبع حدًّا حقيقيًا، لا أن يستبعد الأجزاء عالية المخاطر لتسهيل الشهادة.

4. إهمال التدقيق الداخلي ومراجعة الإدارة #

التدقيق الداخلي ومراجعة الإدارة متطلبان صريحان في المعيار، وتقصّر فيهما برامج كثيرة قبل تدقيق منح الشهادة. يتحقق التدقيق الداخلي من مطابقة النظام للمعيار ولمتطلباتك، ومن أنه يعمل في الواقع. ومراجعة الإدارة هي الموضع الذي تنظر فيه القيادة في الأداء ونتائج التدقيق وتغيّر المخاطر وفرص التحسين، ثم تتخذ القرارات.

وحين يُتعامل معهما كإجراءات شكلية في اللحظة الأخيرة، تفقد الجهة إنذارها المبكر، وتدخل التدقيق الخارجي دون أن تعرف موقعها. نفّذهما وفق جدول حقيقي، بملاحظات فعلية وقرارات مسجلة، قبل وصول المدقق الخارجي بوقت كافٍ.

كيف تتجنبها #

ابدأ بتقييم المخاطر ودعه يقود بيان قابلية التطبيق، ليُردّ كل قرار بشأن ضابط إلى خطر محدد. اختر نطاقًا تستطيع تشغيله جيدًا، ثم وسّعه في الدورات اللاحقة. شغّل النظام قبل أن توثّقه. جدوِل التدقيق الداخلي ومراجعات الإدارة مبكرًا وسجّل قراراتها. وأسند النظام إلى مالك واضح يحافظ عليه بين عمليات التدقيق، لا أثناءها فقط.

الأسئلة الشائعة #

كم يستغرق الحصول على شهادة ISO 27001 عادةً؟

يعتمد ذلك على نقطة البداية والنطاق ومدى نضج الضوابط الحالية. الجهات التي لديها ممارسات أمنية راسخة تتقدم أسرع ممن يبني نظام إدارة من الصفر. ونبدأ عادة بتحديد نطاق تقييم الجاهزية، فيعطيك جدولًا زمنيًا واقعيًا مبنيًا على بيئتك.

هل يفي ISO 27001 بالتزاماتنا تجاه الهيئة الوطنية للأمن السيبراني أيضًا؟

ليس تلقائيًا. يتداخل ISO/IEC 27001 مع أطر الهيئة، ونظام الإدارة الجيد يسهّل إثبات الامتثال التنظيمي. لكن لكل منهما نطاقه ومتطلباته، فاربط بينهما عن قصد بدل افتراض أن أحدهما يغطي الآخر. ويمكننا مواءمة الاثنين في برنامج واحد حتى لا يتكرر الجهد.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.