ISO 27001 – نظام إدارة أمن المعلومات

 ISO 27001 – نظام إدارة أمن المعلومات

يتبنّى معيار ISO 27001:2013منهجًا قائمًا على العمليات في إنشاء وتطبيق وتشغيل ومراقبة ومراجعة وصيانة وتحسين نظام إدارة أمن المعلومات (ISMS)في المنظمة. وقد تم إعداد ISO 27001 من قبل المنظمة الدولية للتوحيد القياسي (ISO)، وأُطلق لأول مرة عام 2005 ليحلّ محل المعيار البريطاني BS 7799.

حماية الأصول

يتخذ المعيار نهجًا شاملًا في مجال أمن المعلومات. وتشمل الأصول التي تحتاج إلى حماية:
المعلومات الرقمية، والوثائق الورقية، والأصول المادية (مثل أجهزة الحاسوب والشبكات)، إلى جانب المعرفة والخبرة التي يمتلكها الأفراد داخل المنظمة. وتتراوح القضايا التي يجب معالجتها من تطوير كفاءة الموظفين، إلى الحماية التقنية من الاحتيال الإلكتروني.

يساعدك ISO 27001 على حماية معلوماتك وفق المبادئ التالية:

• السرية (Confidentiality): ضمان أن تكون المعلومات متاحة فقط لمن لديهم الصلاحية للوصول إليها.
• السلامة/التكامل (Integrity): حماية دقة واكتمال المعلومات وطرق معالجتها.
• الإتاحة (Availability): ضمان تمكّن المستخدمين المخوّلين من الوصول إلى المعلومات والأصول المرتبطة بها عند الحاجة.

فوائد ISO 27001:2013

فوائد التقييس وتطبيق واحد أو أكثر من معايير سلسلة ISO 27000واسعة ومتنوعة، ورغم اختلافها من منظمة لأخرى إلا أن العديد منها مشترك، ومنها:

• قابلية التشغيل البيني (Interoperability):
  وهي فائدة عامة للتقييس؛ إذ تصبح الأنظمة التابعة لجهات مختلفة أكثر قابلية للتوافق والعمل المشترك إذا اتبعت إرشادات موحدة.
• ضمان الجودة (Assurance):
  يمكن للإدارة أن تطمئن إلى جودة النظام أو وحدة الأعمال أو أي كيان آخر إذا اتّبع إطار عمل أو منهجية معترف بها.
• إثبات بذل العناية الواجبة (Due Diligence):
  غالبًا ما يُستخدم الالتزام أو الحصول على شهادة معيار دولي لإثبات أن الإدارة قامت بما يلزم من عناية تجاه حماية المعلومات.
• القياس بالمقارنة (Benchmarking):
  كثيرًا ما تستخدم المنظمات المعيار لقياس وضعها الحالي مقارنةً بالجهات النظيرة، ويمكن استخدامه كمقياس للمستوى الحالي والتقدم المحرز.
• زيادة الوعي (Awareness):
  يؤدي تطبيق معيار مثل ISO 27001 غالبًا إلى رفع مستوى الوعي بأمن المعلومات داخل المنظمة.
• تحسين المواءمة بين الأعمال وتقنية المعلومات (Alignment):
  نظرًا لأن تطبيق ISO 27001 (وباقي معايير السلسلة) يتطلب مشاركة الإدارة العليا وفرق التقنية معًا، فإن ذلك يؤدي غالبًا إلى مواءمة أفضل بين أهداف الأعمال وفرق تقنية المعلومات.
• الامتثال (Compliance):
  قد يبدو غريبًا اعتباره أول فائدة، لكنه غالبًا ما يحقق أسرع عائد على الاستثمار؛ فإذا كانت المنظمة ملزمة بالامتثال لتشريعات مختلفة تتعلق بحماية البيانات والخصوصية وحوكمة تقنية المعلومات (خاصة في القطاعات المالية والصحية والحكومية)، فإن ISO 27001 يوفر المنهجية الأنسب لتحقيق ذلك بكفاءة.
• ميزة تسويقية (Marketing edge):
  في سوق يتزايد فيها التنافس، قد يكون من الصعب إيجاد ما يميزك في نظر العملاء؛ ويمكن أن تكون شهادة ISO 27001 نقطة بيع فريدة، خصوصًا إذا كنت تتعامل مع معلومات حساسة تخص عملاءك.
• تقليل التكاليف (Lowering expenses):
  غالبًا ما يُنظر إلى أمن المعلومات على أنه تكلفة بلا عائد مالي مباشر؛ إلا أن هناك مكاسب مالية تتحقق عند تقليل التكاليف الناتجة عن الحوادث الأمنية: انقطاع الخدمة، تسريب البيانات، الموظفين الناقمين، أو الموظفين السابقين.
  رغم عدم وجود منهجية دقيقة لحساب حجم الأموال التي يمكن توفيرها بمنع هذه الحوادث، فإن عرض مثل هذه الحالات على الإدارة يساعد في توضيح أهمية الاستثمار في أمن المعلومات.
• تنظيم المسؤوليات (Organizational clarity):
  هذه الفائدة غالبًا ما تُقلّل من شأنها؛ فإذا كانت شركتك قد شهدت نموًا كبيرًا خلال السنوات الأخيرة، فقد تواجه مشكلات مثل: من المسؤول عن أي أصل معلوماتي، من يقرر ماذا، ومن يملك صلاحية منح الوصول إلى الأنظمة. ويساعد المعيار في توضيح هذه المسؤوليات والمهام.